🟠 CVE-2026-10087: High Schwachstelle

„`html

Zusammenfassung

GitLab Enterprise Edition ist von einer Sicherheitslücke betroffen, die es authentifizierten Benutzern mit Developer-Rolle ermöglicht, beliebigen clientseitigen Code auszuführen. Die Vulnerability entsteht durch unzureichende Input-Sanitization im Analytics Dashboard und betrifft mehrere Versionsstränge des beliebten DevOps-Platforms.

Betroffene Systeme

• GitLab EE 17.1 bis einschließlich 18.10.7
• GitLab EE 18.11 bis einschließlich 18.11.4
• GitLab EE 19.0 bis einschließlich 19.0.1

Community Edition und selbstverwaltete Instanzen erfordern eine individuelle Bewertung.

Technische Details

Die Schwachstelle basiert auf Cross-Site Scripting (XSS) im Analytics Dashboard-Modul. Durch unzureichende Validierung und Escape-Mechanismen können Entwickler speziell manipulierte Input-Parameter einschleusen. Diese werden nicht korrekt neutralisiert und ermöglichen die Ausführung von JavaScript-Code im Browser des Zielnutzers.

Das Angriffszenario erfordert:

• Gültige Authentifizierung am GitLab-System
• Developer-Level-Berechtigungen oder höher
• Zugriff auf das Analytics Dashboard
• Social Engineering oder direkter Zugriff zur Aktivierung des Payloads

Ein erfolgreicher Angriff ermöglicht Session-Hijacking, Credential-Theft oder Malware-Deployment gegen Zielbenutzer.

Empfohlene Massnahmen

1. Sofortiges Patching: Update auf GitLab 18.10.8, 18.11.5 oder 19.0.2
2. Zugriffsschutz: Überprüfung und Restriktion von Developer-Rollen im Analytics-Modul
3. Monitoring: Analyse von Audit-Logs auf verdächtige Analytics-Dashboard-Aktivitäten
4. Nutzer-Sensibilisierung: Warnung vor verdächtigen Links im internen Kommunikationssystem

Bewertung

CVSS Score: 8.7 (High)

Die Einstufung als „High“ ist berechtigt durch die Kombination von Authentifizierungsanforderung, begrenzten Berechtigungsstufen und potenziell kritischen Auswirkungen auf Benutzerkonten. Der fehlende Patch zum aktuellen Zeitpunkt verstärkt das Risiko erheblich.

„`