【安全圈】GitLab高危XSS漏洞（CVE-2025-12716）可通過(guò)惡意Wiki頁(yè)面劫持用戶會(huì)話

關(guān)鍵詞

漏洞

GitLab在本周關(guān)鍵安全更新中為其社區(qū)版（CE）和企業(yè)版（EE）發(fā)布了一系列重要補(bǔ)丁，修復(fù)了一個(gè)高危漏洞——攻擊者可能通過(guò)惡意Wiki頁(yè)面劫持用戶會(huì)話。此次更新涵蓋18.6.2、18.5.4和18.4.6版本，修復(fù)了從跨站腳本（XSS）到信息泄露等多個(gè)漏洞。GitLab敦促自托管實(shí)例的管理員"盡快升級(jí)至最新版本"以消除這些安全隱患。

高危XSS漏洞威脅會(huì)話安全

本次補(bǔ)丁中最值得關(guān)注的是CVE-2025-12716，這是一個(gè)CVSS評(píng)分8.7的高危XSS漏洞。該漏洞將Wiki功能的協(xié)作特性轉(zhuǎn)變?yōu)楣裘浇椤８鶕?jù)安全公告，該漏洞存在于"特定條件下"，認(rèn)證用戶可創(chuàng)建包含惡意內(nèi)容的Wiki頁(yè)面。當(dāng)其他用戶查看這些頁(yè)面時(shí)，系統(tǒng)可能"以其他用戶身份執(zhí)行未授權(quán)操作"。簡(jiǎn)言之，攻擊者可將文檔頁(yè)面武器化，悄無(wú)聲息地以受害者權(quán)限執(zhí)行命令。

受影響版本包括：18.4.6之前的18.4系列、18.5.4之前的18.5系列，以及18.6.2之前的18.6系列。

輸入凈化不足引發(fā)注入風(fēng)險(xiǎn)

本次更新還修復(fù)了多個(gè)因平臺(tái)未能正確凈化用戶輸入而導(dǎo)致的"注入"類攻擊：

• CVE-2025-8405

  ：漏洞報(bào)告處理機(jī)制存在安全缺陷，不當(dāng)編碼允許認(rèn)證用戶向漏洞報(bào)告注入"惡意HTML"，可能導(dǎo)致未授權(quán)操作。

• CVE-2025-12734

  ：合并請(qǐng)求標(biāo)題被發(fā)現(xiàn)存在HTML注入風(fēng)險(xiǎn)，攻擊者可能通過(guò)精心構(gòu)造的標(biāo)題"泄露敏感信息"。

CVE-2025-13978（CVSS 4.3）是一個(gè)信息泄露漏洞，錯(cuò)誤消息暴露了過(guò)多信息。公告指出，認(rèn)證用戶可通過(guò)分析API錯(cuò)誤響應(yīng)"發(fā)現(xiàn)其無(wú)權(quán)訪問(wèn)的私有項(xiàng)目名稱"。

此外，GitLab EE還修復(fù)了一個(gè)GraphQL查詢問(wèn)題。該漏洞允許用戶通過(guò)執(zhí)行特制查詢"從私有項(xiàng)目中泄露敏感信息"，凸顯了保護(hù)現(xiàn)代API端點(diǎn)的復(fù)雜性。

GitLab.com和GitLab Dedicated環(huán)境已完成更新，但自托管實(shí)例在升級(jí)前仍面臨風(fēng)險(xiǎn)。安全團(tuán)隊(duì)?wèi)?yīng)立即部署18.6.2、18.5.4或18.4.6版本。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！