關(guān)鍵詞

漏洞

GitLab在本周關(guān)鍵安全更新中為其社區(qū)版（CE）和企業(yè)版（EE）發(fā)布了一系列重要補丁，修復(fù)了一個高危漏洞——攻擊者可能通過惡意Wiki頁面劫持用戶會話。此次更新涵蓋18.6.2、18.5.4和18.4.6版本，修復(fù)了從跨站腳本（XSS）到信息泄露等多個漏洞。GitLab敦促自托管實例的管理員"盡快升級至最新版本"以消除這些安全隱患。

高危XSS漏洞威脅會話安全

本次補丁中最值得關(guān)注的是CVE-2025-12716，這是一個CVSS評分8.7的高危XSS漏洞。該漏洞將Wiki功能的協(xié)作特性轉(zhuǎn)變?yōu)楣裘浇椤８鶕?jù)安全公告，該漏洞存在于"特定條件下"，認(rèn)證用戶可創(chuàng)建包含惡意內(nèi)容的Wiki頁面。當(dāng)其他用戶查看這些頁面時，系統(tǒng)可能"以其他用戶身份執(zhí)行未授權(quán)操作"。簡言之，攻擊者可將文檔頁面武器化，悄無聲息地以受害者權(quán)限執(zhí)行命令。

受影響版本包括：18.4.6之前的18.4系列、18.5.4之前的18.5系列，以及18.6.2之前的18.6系列。

輸入凈化不足引發(fā)注入風(fēng)險

本次更新還修復(fù)了多個因平臺未能正確凈化用戶輸入而導(dǎo)致的"注入"類攻擊：

• CVE-2025-8405

  ：漏洞報告處理機(jī)制存在安全缺陷，不當(dāng)編碼允許認(rèn)證用戶向漏洞報告注入"惡意HTML"，可能導(dǎo)致未授權(quán)操作。

• CVE-2025-12734

  ：合并請求標(biāo)題被發(fā)現(xiàn)存在HTML注入風(fēng)險，攻擊者可能通過精心構(gòu)造的標(biāo)題"泄露敏感信息"。

CVE-2025-13978（CVSS 4.3）是一個信息泄露漏洞，錯誤消息暴露了過多信息。公告指出，認(rèn)證用戶可通過分析API錯誤響應(yīng)"發(fā)現(xiàn)其無權(quán)訪問的私有項目名稱"。

此外，GitLab EE還修復(fù)了一個GraphQL查詢問題。該漏洞允許用戶通過執(zhí)行特制查詢"從私有項目中泄露敏感信息"，凸顯了保護(hù)現(xiàn)代API端點的復(fù)雜性。

GitLab.com和GitLab Dedicated環(huán)境已完成更新，但自托管實例在升級前仍面臨風(fēng)險。安全團(tuán)隊?wèi)?yīng)立即部署18.6.2、18.5.4或18.4.6版本。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！