-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in GitLab
Advisory ID     : NCSC-2026-0003
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2025-3950, CVE-2025-9222, CVE-2025-10569,
                  CVE-2025-11246, CVE-2025-13761, CVE-2025-13772,
                  CVE-2025-13781
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Exposure of Private Personal Information to an
                  Unauthorized Actor
                  Allocation of Resources Without Limits or Throttling
                  Missing Authorization
                  Insufficient Granularity of Access Control
Uitgiftedatum   : 20260109
Toepassing      : GitLab GitLab
Versie(s)       :
Platform(s)     :

Beschrijving
   GitLab heeft kwetsbaarheden verholpen in GitLab CE/EE.

   De kwetsbaarheden omvatten verschillende problemen, waaronder de
   mogelijkheid voor geauthenticeerde gebruikers om externe API-
   aanroepen te misbruiken, wat kan leiden tot een Denial-of-Service.
   Daarnaast konden geauthenticeerde gebruikers via GraphQL
   ongeautoriseerde wijzigingen aanbrengen in projectconfiguraties en
   AI-instellingen van ongeautoriseerde namespaces. Een andere
   kwetsbaarheid stelde ongeauthenticeerde gebruikers in staat om
   willekeurige code uit te voeren in de browser van een
   geauthenticeerde gebruiker via een kwaadaardige webpagina. Bovendien
   konden geauthenticeerde gebruikers gevoelige informatie lekken door
   speciaal vervaardigde afbeeldingen te gebruiken die de bescherming
   van de asset proxy omzeilden. Ten slotte was er een kwetsbaarheid die
   het mogelijk maakte om opgeslagen cross-site scripting (XSS) uit te
   voeren via GitLab Flavored Markdown, wat de beveiliging van de
   applicatie in gevaar kon brengen.

Mogelijke oplossingen
   GitLab heeft updates uitgebracht om de kwetsbaarheden te verhelpen.
   Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://about.gitlab.com/releases/2026/01/07/patch-release-
      gitlab-18-7-1-released/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=7LrN
-----END PGP SIGNATURE-----