漏洞描述

GitLab 是由GitLab公司开发的、基于Git的集成软件开发平台。

在GitLab受影响版本中存在存储型XSS漏洞，由于Kroki过滤器中对接收的image_src过滤不严，攻击者可通过恶意构造的Kroki图表，当用户访问该图表时，即可触发恶意代码，进行执行任意JS代码。

影响范围

GitLab CE@[13.7, 15.7.8)

GitLab CE@[15.8, 15.8.4)

GitLab CE@[15.9, 15.9.2)

GitLab EE@[15.9, 15.9.2)

GitLab EE@[15.8, 15.8.4)

GitLab EE@[13.7, 15.7.8)

修复方案

将组件 GitLab EE 升级至 15.7.8 及以上版本

将组件 GitLab CE 升级至 15.7.8 及以上版本

将组件 GitLab CE 升级至 15.8.4 及以上版本

将组件 GitLab CE 升级至 15.9.2 及以上版本

将组件 GitLab EE 升级至 15.9.2 及以上版本

将组件 GitLab EE 升级至 15.8.4 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-0208

Commit

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc