Open-Source Security Intelligence

Know every vulnerability
before it knows you.

DevGuard continuously monitors your dependencies and alerts you when CVEs like this one affect your stack — with real-time threat intelligence built for developers.

Search

NCSC-2025-0390

Published Dec 11, 2025·Last modified Dec 11, 2025
Description
Feiten

GitLab heeft kwetsbaarheden verholpen in GitLab CE/EE.

Interpretaties

De kwetsbaarheden omvatten verschillende problemen, waaronder de mogelijkheid voor geauthenticeerde gebruikers om kwaadaardige afbeeldingen te uploaden, ongeautoriseerde acties uit te voeren door het injecteren van kwaadaardige HTML, gevoelige informatie te verkrijgen via GraphQL-queries, en het omzeilen van WebAuthn tweefactorauthenticatie. Daarnaast kunnen ongeauthenticeerde gebruikers kwaadaardige scripts injecteren in de Swagger UI en GraphQL-querycomplexiteitslimieten misbruiken, wat kan leiden tot Denial of Service (DoS) situaties.

Oplossingen

GitLab heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.

Kans

medium

Schade

high

CWE-79

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

CWE-80

Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)

CWE-116

Improper Encoding or Escaping of Output

CWE-209

Generation of Error Message Containing Sensitive Information

CWE-288

Authentication Bypass Using an Alternate Path or Channel

CWE-639

Authorization Bypass Through User-Controlled Key

CWE-770

Allocation of Resources Without Limits or Throttling

Scan your project

Continuously monitor your dependencies and get alerted when vulnerabilities like this one affect your stack.

Checkout DevGuard