GitLab пусна нови версии на своята платформа DevSecOps с цел да адресира множество сериозни уязвимости, включително такива, които могат да доведат до завземане на потребителски акаунти и инжектиране на злонамерени CI/CD задачи в бъдещи програмни конвейери.

Обновленията са достъпни в следните версии:

• GitLab Community Edition (CE) и Enterprise Edition (EE): 18.0.2,

• 17.11.4,

• и 17.10.8.

Компанията призовава всички администратори на self-managed инсталации да приложат актуализациите незабавно. Платформата GitLab.com вече използва защитената версия, а клиентите на GitLab Dedicated не е необходимо да предприемат действия.

Основни уязвимости, адресирани с обновленията

🔹 CVE-2025-4278 – HTML инжекция и превземане на акаунти

Първата от сериозните уязвимости е свързана с възможността за HTML инжекция в страницата за търсене. При успешна експлоатация, отдалечени нападатели могат да внедрят зловреден код, който да се изпълнява в браузъра на жертвата и да доведе до завземане на потребителски сесии и достъп до акаунти.

🔹 CVE-2025-5121 – Инжектиране на CI/CD задачи без разрешение

Втората уязвимост, засягаща GitLab Ultimate EE, се дължи на липса на адекватен контрол на достъпа. Тя позволява на автентикирани, но неупълномощени потребители да внедряват зловредни CI/CD задачи, които могат да бъдат изпълнени автоматично при бъдещи деплойменти в произволни проекти. Това създава сериозен риск за компрометиране на софтуерния процес на организацията.

Забележка: Уязвимостта изисква потребителят да има достъп до инстанция с активен GitLab Ultimate лиценз.

🔹 Други критични уязвимости:

• CVE-2025-2254 – уязвимост от тип XSS (Cross-site scripting), която може да позволи на нападател да действа от името на легитимен потребител;

• CVE-2025-0673 – отказ от услуга (DoS) чрез предизвикване на безкрайни пренасочвания, което води до изчерпване на системната памет и недостъпност на услугата за реални потребители.

GitLab остава приоритетна цел за кибератаки

GitLab е предпочитана мишена от киберпрестъпници, тъй като хоства чувствителна информация, включително изходен код, достъпни токени и конфигурационни файлове. През 2025 г. бяха регистрирани пробиви в GitLab хранилищата на Europcar Mobility Group и Pearson, доказващи реалните рискове.

Към момента, GitLab има над 30 милиона регистрирани потребители, а над 50% от компаниите в класацията Fortune 100 използват платформата, сред които: Goldman Sachs, Airbus, T-Mobile, Lockheed Martin, Nvidia и UBS.