-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in GitLab
Advisory ID     : NCSC-2026-0103
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2025-13078, CVE-2025-13436, CVE-2025-14595,
                  CVE-2026-1724, CVE-2026-2370, CVE-2026-2726,
                  CVE-2026-2745, CVE-2026-2973, CVE-2026-2995,
                  CVE-2026-3857, CVE-2026-3988, CVE-2026-4363
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Improper Neutralization of Script-Related HTML Tags in
                  a Web Page (Basic XSS)
                  Authentication Bypass Using an Alternate Path or
                  Channel
                  Missing Authentication for Critical Function
                  Cross-Site Request Forgery (CSRF)
                  Inefficient Algorithmic Complexity
                  Allocation of Resources Without Limits or Throttling
                  Missing Authorization
                  Incorrect Authorization
                  Improper Validation of Specified Quantity in Input
Uitgiftedatum   : 20260326
Toepassing      : GitLab GitLab
                  Open Source GitLab
Versie(s)       :
Platform(s)     :

Beschrijving
   GitLab heeft kwetsbaarheden verholpen in versies 18.8.7, 18.9.3, en
   18.10.1.

   De kwetsbaarheden omvatten onder andere denial-of-service scenario's
   die konden worden veroorzaakt door geauthenticeerde gebruikers via
   specifieke webhook configuraties en continue integratie inputs.
   Daarnaast waren er problemen met onjuiste toegangscontrole voor
   gebruikers met de Planner rol, waardoor gevoelige metadata
   toegankelijk was. Ongeauthenticeerde gebruikers konden API-tokens
   voor zelf-gehoste AI-modellen ophalen, en er waren ook kwetsbaarheden
   die het mogelijk maakten om WebAuthn twee-factor authenticatie te
   omzeilen. Verder waren er problemen met onvoldoende sanitization van
   Mermaid diagrammen en HTML-inhoud, wat leidde tot de mogelijkheid om
   ongeautoriseerde acties uit te voeren of gebruikersaccounts te
   manipuleren. Tot slot waren er tekortkomingen in CSRF-bescherming die
   ongeauthenticeerde gebruikers in staat stelden om GraphQL-mutaties
   uit te voeren.

Mogelijke oplossingen
   GitLab heeft patches uitgebracht om de kwetsbaarheden te verhelpen.
   Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://about.gitlab.com/releases/2026/03/25/patch-release-
      gitlab-18-10-1-released/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----

iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmnFAgUACgkQgupWoL0Z
hGF4BQv/XwUIkYfwzaW3DmK1MhVGB/37Ayzs+SVGTq9Ci+t+h2YotBIsn2OfmVVY
vFlJcSanhoPpYH+ywPFz6mkz9KKErkC0uZlxBl/eDyPK/Ud0DQ+SF+yJw7F+2t/F
9v0QKhza11ueYCGU2Tg7c87hnJnA2895YRc8sq6BQovHvyJEBI7Xaxfql31eyjwd
Hi8hjuoe5featQoxi5eNPvvPPh+HayzXvuYucbgKP7vT/DS/jdNRRzobRW7m+Cvf
KSWjWBCD5u2br3kr5Yyc1njlQ4uFJFTO8Sm/VrBkHw5950zMLUMxAc/ICOeUUWP/
88OBPRJY1VqOmrGicBgbX9XMuP8syA3/FDai9MUkNHVkFvt6ed5FLsM4aPGnjelZ
STzi5uVyiPOZ3i37NrUtAcMuWT7UlvgihhmyAWSPUHrqUnmbyg/sliApKHbykS92
Hl+X1QdSROq2vH7N/saFcAiEGYHarYtxpSK03vvuv4HRCM6PtWH1+BuDcUQzSAag
mEZs1UdE
=5sCl
-----END PGP SIGNATURE-----