【雲智維資安預警通知】

一、摘要
 

 

    GitLab 發布 18.7.1、18.6.3、18.5.5 等版本，修補多項影響 GitLab Community Edition (CE) 及 Enterprise Edition (EE) 的安全漏洞及功能異常，涵蓋跨站指令碼（XSS）、授權檢查缺失、拒絕服務（DoS）與資訊洩露等風險。建議所有自我管理（self-managed） 的 GitLab 實例儘速升級以降低資安風險。
 




二、存在風險

    GitLab Patch Release 修補了數項安全弱點，可能被惡意使用者利用造成 跨站腳本 (XSS)、未授權存取、阻斷服務 (DoS)、資訊洩漏 及 安全檢查繞過 等攻擊，其影響系統或版本如下：
受影響之系統/漏洞描述：
GitLab Community Edition (CE) 版本 18.2.2 起但低於 18.5.5 / 18.6.3 / 18.7.1 之版本
GitLab Enterprise Edition (EE) 版本 18.2.2 起但低於 18.5.5 / 18.6.3 / 18.7.1 之版本
主要漏洞修補摘要：

 

CVE-2025-9222 — Stored Cross-site Scripting（XSS）
可濫用GitLab Flavored Markdown標記語言的占位符（Placeholders）機制，發動儲存型跨站指令碼攻擊，此漏洞嚴重性屬 High (CVSS 8.7)。
CVE-2025-13761 — Web IDE XSS
未經身份驗證者可誘使合法使用者瀏覽特定頁面後，在其瀏覽器上下文執行任意程式碼，亦為 High (CVSS 8.0) 風險漏洞。
CVE-2025-13772 — Duo Workflows API 權限不足
已驗證使用者可能利用 API 的 namespace 參數擅自存取或變更 AI 模型設定，此為 High 級別漏洞。
CVE-2025-10569 — 匯入功能 DoS
攻擊者藉由對外部API呼叫提供特製回應，造成 GitLab 實例資源耗盡或阻斷服務。
CVE-2025-11246 — GraphQL runnerUpdate 權限控制
具備特定權限的使用者，移除不相關專案的Runner資源（runner）。
CVE-2025-3950 — Mermaid 圖表資訊洩漏
使用特製圖片可能繞過 Asset Proxy 行為，洩露連線相關敏感資訊。
 

 



 
三、建議改善措施：
           企業及使用者如有遭受上述漏洞影響之 GitLab 版本，請儘速更新至最新版 Patch Release：
請將 GitLab CE／EE 更新至以下版本之一：
18.7.1
18.6.3
18.5.5
升級前請依官方說明備份資料並評估資料庫遷移需求：
單節點部署 (Single-node) 可能需要停機以完成升級及資料庫 migration。
多節點部署則可透過 Zero-downtime 升級流程進行，以降低服務中斷影響。
其他安全強化建議：
限制 GitLab Web 介面及 API 存取僅允許內部網段或 VPN 存取。
建立例行性版本更新通知與漏洞監控流程。
確保系統日誌、資安事件監控與入侵偵測持續運作。
    情資報告連結：
https://about.gitlab.com/releases/2026/01/07/patch-release-gitlab-18-7-1-released/