GitLab hat am 22. Mai 2024 eine XSS-Lücke in der Web-IDE behoben. CVE-2024-4835 betraf CE und EE ab 15.11 vor 16.10.6, 16.11 vor 16.11.3 sowie 17.0 vor 17.0.1. GitLab bewertete die Schwachstelle mit 8,0 von 10 CVSS-Punkten.
Eine präparierte Seite konnte nach Nutzerinteraktion sensible Benutzerinformationen ausleiten. GitLab führte den Fehler als Möglichkeit zur Kontoübernahme mit einem Klick auf und schrieb die Meldung dem Sicherheitsforscher matanber zu.
Korrigierte Fassungen vom Mai 2024
| Versionsreihe | Erste korrigierte Fassung |
|---|---|
| 16.10 | 16.10.6 |
| 16.11 | 16.11.3 |
| 17.0 | 17.0.1 |
Die Sicherheitstabelle nennt außerdem sechs mittelschwere Schwachstellen, darunter Dienstblockaden und den Zugriff von Gastkonten auf Abhängigkeitslisten privater Projekte über Job-Artefakte. GitLab.com lief laut damaliger Mitteilung bereits mit den Korrekturen.
Archivhinweis: Diese Versionsnummern dokumentieren die Patches vom Mai 2024. Sie sind keine heutige Update-Empfehlung.