-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheden verholpen in GitLab door GitLab Inc. Advisory ID : NCSC-2026-0270 Versie : 1.00 Kans : medium CVE ID : CVE-2025-14562, CVE-2026-3093, CVE-2026-4672, CVE-2026-6267, CVE-2026-6336, CVE-2026-12436, CVE-2026-13113, CVE-2026-14341, CVE-2026-14351, CVE-2026-15077, CVE-2026-15831, CVE-2026-15975, CVE-2026-16553 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : medium Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') Insertion of Sensitive Information Into Sent Data Time-of-check Time-of-use (TOCTOU) Race Condition Insufficiently Protected Credentials Allocation of Resources Without Limits or Throttling Missing Authorization Incorrect Authorization Improperly Controlled Modification of Dynamically- Determined Object Attributes Exposure of Sensitive Information Through Metadata Generation of Incorrect Security Tokens Improper Neutralization of Input Used for LLM Prompting Uitgiftedatum : 20260730 Toepassing : GitLab GitLab Versie(s) : Platform(s) : Beschrijving GitLab Inc. heeft meerdere kwetsbaarheden verholpen in GitLab, specifiek in versies voorafgaand aan 19.0.5, 19.1.3 en 19.2.1, inclusief GitLab Enterprise Edition (EE) versies binnen deze reeksen. De kwetsbaarheden betreffen verschillende onderdelen van GitLab: - Onjuiste toegangcontrole waardoor geauthenticeerde gebruikers met gastrechten testrapporten konden inzien die beperkt hadden moeten zijn. - Onvoldoende validatie van gebruikersinvoer waardoor geauthenticeerde gebruikers de CI/CD pipeline schema's van andere gebruikers konden wijzigen. - Onjuiste verwerking van upstream verzoeken in virtuele registries leidend tot mogelijke ongeautoriseerde informatielekken. - Een raceconditie die het mogelijk maakte om de verplichte goedkeuringsworkflow te omzeilen en direct code te mergen in beschermde branches. - Onvoldoende toegangscontrole bij interne verzoekverwerking waardoor ontwikkelaars toegang kregen tot informatie buiten hun autorisatie. - Onvoldoende resource throttling bij het verwerken van merge request discussies, wat door niet-geauthenticeerde gebruikers misbruikt kon worden voor een denial-of-service. - Onjuiste autorisatiecontroles op merge request samenwerking waardoor ontwikkelaars konden blijven committen na intrekking van hun toegang. - Onjuiste autorisatie waardoor niet-geauthenticeerde gebruikers de titels van vertrouwelijke issues konden bekijken via publieke merge requests. - Onjuiste verwerking van onbetrouwbare inhoud in de AI-assisted code review functie, wat toegang tot projectinformatie mogelijk maakte. - Onvoldoende inputsanitatie waardoor cross-site scripting (XSS) aanvallen mogelijk waren via speciaal opgemaakte URLs. - Onjuiste autorisatie tijdens token generatie waardoor geauthenticeerde gebruikers admin-governance policies konden omzeilen. - Onjuiste API-toegangscontrole waardoor gebruikers met Maintainer rol beschermde branch instellingen konden wijzigen. - Ontbrekende autorisatiecontrole waardoor niet-geautoriseerde gebruikers toegang kregen tot project import broninformatie. Deze kwetsbaarheden kunnen leiden tot ongeautoriseerde informatieontsluiting, manipulatie van workflows, omzeilen van beveiligingsmechanismen, denial-of-service en privilege escalatie binnen de GitLab omgeving. Mogelijke oplossingen GitLab Inc. heeft updates uitgebracht voor GitLab versies voorafgaand aan 19.0.5, 19.1.3 en 19.2.1, inclusief GitLab Enterprise Edition, om deze kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference https://docs.gitlab.com/releases/patches/patch-release- gitlab-19-2-1-released/ Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmpq7EoACgkQgupWoL0Z hGHPYQwAtxEhFgt8aGfMWgQoXpbtIg0NTuaKT3CjGjNb+xl9IOOG6xrXTOpKI7UR GBHf8IJQYilBAogkSromoEKLOq77OmgVO8u5l96THtJTE03U3y3cB6iPjVwatTnQ B2QR6C9LeGogKihHazMKztEw3DoHBZ05TFG846TRl8oFSvYCKdGo2Mf0Dk+5Ge6j EIunsAkR20A17nt/E0NzB3dyK0XbU7WYx1Qfec6SrpIrJYBYcFEjAGF1aUH2jE1w jAF9SpOk95TtZfUw9KyUuSnbWV/beXWGfwuvYHVz5Vtw5kSCtlA9efkZPGb9ccFw iVGvS14wxW5DYt85zYW+X9AeJBTkC94KgK6OKF4Zhd/xDhyjO0/bku8pZtpiBlgt QHIYzaN8/Wri/w5O28wwGEkyIq0/8N+NQlpmTosxO6040sHlw4h9vfOTl6P8euYI R6v1TY2wYmJr/uJADv1C0Mps706q86b8UvSkSc+eLo6bitjo9Rg3Ia8tY4vU1EI+ 5CYKDQEH =u/aZ -----END PGP SIGNATURE-----