NCSC | Security Advisories
Bekijk RSS-feed

Security Advisories

Download

Security Advisory; NCSC-2026-0211 [1.0.0]

Security Advisory
NCSC-2026-0211 [1.0.0]
Publicatie
25-06-2026 13:26 (Europe/Amsterdam)
Prioriteit
Normaal
Betreft
Kwetsbaarheden verholpen in GitLab Community Edition en Enterprise Edition

Kenmerken

  • Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
  • Improper Control of Generation of Code ('Code Injection')
  • Reliance on Reverse DNS Resolution for a Security-Critical Action
  • Insertion of Sensitive Information into Log File
  • Authorization Bypass Through User-Controlled Key
  • Missing Authorization
  • Incorrect Authorization

Omschrijving

GitLab Inc. heeft meerdere kwetsbaarheden verholpen in GitLab Enterprise Edition (EE) en andere GitLab versies, specifiek in releases van versie 8.3 tot en met 19.1.1, met nadruk op versies rond 18.11.6, 19.0.3 en 19.1.1.

De kwetsbaarheden betreffen verschillende onderdelen van GitLab, waaronder de package management system, DAST site profile management, CI/CD API endpoints, Snippet feature, mirror synchronisatie, en project issue tracking. Diverse problemen zijn gerelateerd aan onjuiste autorisatiecontroles, onvoldoende validatie van input en output, en onjuiste filtering van gevoelige data. Hierdoor kunnen gebruikers met beperkte of geauthenticeerde rechten onder andere:

  • toegang krijgen tot metadata van pakketten ondanks uitgeschakelde registraties,
  • beveiligingsregels voor pakketten omzeilen en metadata overschrijven,
  • geheimen uit DAST site profielen uitlezen,
  • cross-site scripting (XSS) aanvallen uitvoeren via onvoldoende padvalidatie en input sanitatie,
  • beschermde omgevingsconfiguraties benaderen of wijzigen ondanks zichtbaarheid-instellingen,
  • verborgen of ongeautoriseerde inhoud in Snippets plaatsen,
  • gevoelige projectinformatie inzien zonder juiste rechten,
  • client-side code injecteren in sessies van andere gebruikers,
  • gevoelige informatie in logs laten verschijnen door onvoldoende filtering,
  • vertrouwelijke issue-referenties op publieke projecten benaderen zonder authenticatie,
  • interne netwerkresources benaderen via mirror synchronisatie door onvoldoende URL-validatie,
  • en virtuele registry cleanup policies van andere groepen aanpassen door onvoldoende toegangscontrole. Deze kwetsbaarheden zijn aanwezig in meerdere opeenvolgende versies van GitLab en betreffen zowel authenticatie- als autorisatieproblemen, alsmede input- en outputvalidatie.

Oplossingen

GitLab heeft updates en patches uitgebracht voor de genoemde versies om de diverse kwetsbaarheden te verhelpen door verbeterde autorisatiecontroles, input- en outputvalidatie, en filtering van gevoelige data te implementeren. Zie bijgevoegde referenties voor meer informatie.

Referenties

CVE's

Producten

GitLab
Community Edition, Enterprise Edition

Disclaimer

The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions: NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein. NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory. This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings.