-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in GitLab Enterprise Edition en Community Edition
Advisory ID     : NCSC-2026-0222
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2025-12506, CVE-2026-6352, CVE-2026-6896,
                  CVE-2026-7492, CVE-2026-8472, CVE-2026-11827,
                  CVE-2026-13151, CVE-2026-13320
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Insufficiently Protected Credentials
                  Use of Incorrectly-Resolved Name or Reference
                  Missing Authorization
                  Incorrect Authorization
                  Authorization Bypass Through User-Controlled Key
                  Incorrect Privilege Assignment
Uitgiftedatum   : 20260710
Toepassing      : GitLab GitLab
Versie(s)       :
Platform(s)     :

Beschrijving
   GitLab heeft meerdere kwetsbaarheden verholpen in GitLab Enterprise
   Edition (EE) en Community Edition (CE) in versies variërend van 9.1
   tot voor 18.11.7, 19.0 tot voor 19.0.4, en 19.1 tot voor 19.1.2.

   De kwetsbaarheden betreffen onder andere:
   - Het creëren van repositories met discrepanties tussen de
   webinterface en de daadwerkelijke downloadbare bestanden door
   onjuiste verwerking van Git reference names.
   - Onvoldoende autorisatiecontroles in GraphQL-operaties waardoor
   gebruikers met auditor-permissies compliance violation records kunnen
   aanpassen.
   - Cross-site scripting (XSS) waarbij gebruikers met developer-
   permissies kwaadaardige scripts kunnen injecteren in de browser van
   andere gebruikers door onjuiste inputsanitatie.
   - Ongeautoriseerde detectie van private projecten door onbevoegde
   gebruikers via cross-project reference pages.
   - Bypass van autorisatiecontroles waardoor gebruikers met minimale
   toegangsrechten metadata van werkitems in private projecten kunnen
   inzien.
   - Toegang tot opgeslagen credentials van andere gebruikers door
   maintainers via onvoldoende toegangsbeperkingen.
   - Ongeautoriseerde wijziging van groepsinstellingen door foutieve
   autorisatiecontroles op groepsniveau.
   Deze kwetsbaarheden maken het mogelijk voor gebruikers met
   verschillende toegangsrechten om acties uit te voeren of informatie
   in te zien die normaal gesproken beperkt zou moeten zijn, door het
   omzeilen van autorisatiecontroles of het misbruiken van onjuiste
   inputverwerking.

Mogelijke oplossingen
   GitLab heeft updates en patches uitgebracht voor de genoemde versies
   van de GitLab Editions om deze kwetsbaarheden te verhelpen. Zie
   bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://docs.gitlab.com/releases/patches/patch-release-
      gitlab-19-1-2-released/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----

iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmpQiJQACgkQgupWoL0Z
hGExmgv/XREcDbzeA2sBQfjbtR8xLJQ/hu4NvUFPIeN/Ll5ftQDK/tMmlBJpuOAa
KwtXxLFHe58dXXcr+GRTKfEFkz5kgItKa+DRzEFpsD9c8CUrMVEH4v8oYB+mtiGR
D4jyHsyE5Ua8ZF1OxEhbesjTLTvk5C5hqlRetsuH4yShjtgv5mLKYAjdcauk8TW8
ivJHEJXi7kF+zx723XxwnlvsABGBYPskt58Y5sDKUKP3q9PByBs3NB7cMf0+mws5
1GGCH6f1Tt2TcggREJhP2MHHUj9/g4WlZAwL7tYdHUNGVFJGSqH1GDtbd4VKPbLB
UrFEk9w5HvV7FCH7M8/JDuvkmu6Os1BMcMbvpsrmr/yBduDp2Fuu1mevyqf8jO3Q
0Ib2iMgdw5d6nQ/BpcypoYuTe/3xwDRaVXVtlmGM1XpIn9oVw+vOmfUuDL0RnKT2
RzlXU/Qle6AulheG12VCtekWwb4d/6jYLCO3kxX5ln/jNC8MW5VAYkMpqLFqtfTZ
Ppa1ftyp
=0VWh
-----END PGP SIGNATURE-----