GitLab补丁发布：18.0.1、17.11.3、17.10.7

今天，我们发布了GitLab社区版（CE）和企业版（EE）的18.0.1、17.11.3和17.10.7版本。这些版本包含了重要的错误修复和安全修复，我们强烈建议所有自托管的GitLab安装立即升级到这些版本之一。GitLab.com已经在运行修补后的版本。GitLab Dedicated客户无需采取任何行动。

GitLab在补丁发布中修复漏洞。补丁发布有两种类型：计划发布和针对高严重性漏洞的临时关键补丁。计划发布每月在第二个和第四个星期三发布两次。

安全修复

安全修复表格

安全修复详情

GitLab中未受保护的大文件端点允许拒绝服务

在GitLab CE/EE中发现一个问题，影响所有17.10.7之前版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本。这可能允许经过身份验证的攻击者通过耗尽服务器资源导致拒绝服务状况。

这是一个高严重性问题（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H，7.5）。

现在已在最新版本中得到缓解，并分配了CVE-2025-0993。

感谢pwnie通过我们的HackerOne漏洞赏金计划报告此漏洞。

不当的XPath验证允许修改的SAML响应绕过双因素认证要求

在GitLab CE/EE中发现一个问题，影响从11.1到17.10.7之前的所有版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本。不当的XPath验证允许在特定条件下修改的SAML响应绕过双因素认证要求。

这是一个中严重性问题（CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N，6.8）。

现在已在最新版本中得到缓解，并分配了CVE-2024-12093。

感谢joaxcar通过我们的HackerOne漏洞赏金计划报告此漏洞。

Discord webhook集成可能导致DoS

在GitLab CE/EE中发现一个问题，影响从11.6到17.10.7之前的所有版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本。Discord webhook集成可能导致拒绝服务。

这是一个中严重性问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H，6.5）。

现在已在最新版本中得到缓解，并分配了CVE-2024-7803。

感谢a92847865通过我们的HackerOne漏洞赏金计划报告此漏洞。

无限制的Kubernetes集群令牌可能导致DoS

在GitLab CE/EE中发现一个问题，影响从10.2到17.10.7之前的所有版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本。Kubernetes集成中缺乏输入验证可能允许经过身份验证的用户导致拒绝服务。

这是一个中严重性问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H，6.5）。

现在已在最新版本中得到缓解，并分配了CVE-2025-3111。

感谢pwnie通过我们的HackerOne漏洞赏金计划报告此漏洞。

未验证的注释位置可能导致拒绝服务

在GitLab CE/EE中发现一个问题，影响所有17.10.7之前版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本。GitLab中缺乏适当验证可能允许经过身份验证的用户导致拒绝服务状况。

这是一个中严重性问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H，6.5）。

现在已在最新版本中得到缓解，并分配了CVE-2025-2853。

感谢pwnie通过我们的HackerOne漏洞赏金计划报告此漏洞。

隐藏/屏蔽的变量可能在UI中暴露

在GitLab CE/EE中发现一个问题，影响所有17.10.7之前版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本。攻击者可能能够通过创建自己的变量并观察HTTP响应，在WebUI中揭示他们未编写的屏蔽或隐藏的CI变量。

这是一个中严重性问题（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N，4.9）。

现在已在最新版本中得到缓解，并分配了CVE-2025-4979。

感谢mateuszek通过我们的HackerOne漏洞赏金计划报告此漏洞。

双因素认证要求绕过

在GitLab CE/EE中发现一个问题，影响从16.8到17.10.7之前的所有版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本。组访问控制可能允许某些用户绕过双因素认证要求。

这是一个中严重性问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N，4.6）。

现在已在最新版本中得到缓解，并分配了CVE-2025-0605。

感谢salh4ckr通过我们的HackerOne漏洞赏金计划报告此漏洞。

查看应部分隐藏的完整电子邮件地址

在GitLab CE/EE中发现一个问题，影响从17.1到17.10.7之前的所有版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本。在特定条件下，未经授权的用户可以查看应部分隐藏的完整电子邮件地址。

这是一个中严重性问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N，4.3）。

现在已在最新版本中得到缓解，并分配了CVE-2025-0679。

感谢mateuszek通过我们的HackerOne漏洞赏金计划报告此漏洞。

机密合并请求中的分支名称混淆

GitLab CE/EE中的一个业务逻辑错误，影响从12.1开始到17.10.7之前的所有版本、17.11.3之前的17.11版本和18.0.1之前的18.0版本，攻击者可以在机密合并请求中导致分支名称混淆。

这是一个低严重性问题（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N，3.5）。

现在已在最新版本中得到缓解，并分配了CVE-2024-9163。

感谢foxribeye通过我们的HackerOne漏洞赏金计划报告此漏洞。

通过GraphQL查询未经授权访问作业数据

在GitLab CE/EE中发现一个问题，影响从18.0到18.0.1之前的所有版本。在特定情况下，具有有限权限的用户可以通过精心设计的GraphQL查询访问作业数据。

这是一个低严重性问题（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N，2.7）。

现在已在最新版本中得到缓解，并分配了CVE-2025-1110。

感谢pwnie通过我们的HackerOne漏洞赏金计划报告此漏洞。

Mattermost安全更新2025年4月29日

Mattermost已更新，应用了针对低和中等级别安全问题的最新补丁。

错误修复

18.0.1

• 修复FIPS构建镜像的CI_COMMIT_REF标签
• 将gitlab-shell升级到v14.42.0 - 18.0回溯
• [回溯]不为zoekt搜索运行索引完整性工作器
• 将gitlab-qa更新到15.5.0
• 将出站允许列表添加到SSRF过滤器的允许端点
• 应用Rails 7-1-stable补丁修复类型映射初始化问题
• KAS：移除不支持的GitOps配置（18.0回溯）

17.11.3

• 回溯17.11：为项目和组工作项生成独立的fixtures
• [回溯]修复Import::GitHubService中的不稳定规范
• [回溯]修复命令调色板边缘情况
• 删除BBM backfill_project_id_for_projects_with_pipeline_variables回溯到17.11
• 添加回溯以修复shortSHA唯一性
• [回溯] 17.11：为稳定分支流水线启用FF_TIMESTAMPS
• [回溯]在管理界面中点击Elasticsearch之前添加ping?检查
• [回溯]自动完成：更改用户授权以对项目使用terms查询
• 将gitlab-shell升级到v14.42.0
• 尊重图表中的产品使用数据设置
• 合并分支’tbulva-zoekt-global-search-bug’到’master'
• 将出站允许列表添加到SSRF过滤器的允许端点
• 删除ci_runner_machines_archived表
• 17.11：在自动解决漏洞时使用no_longer_detected_ids
• 更新过时的测试证书[17.11]
• 还原"合并分支’renovate/pgbouncer-pgbouncer-1.x’到’master'"
• 确保正确版本的Nginx模块包含在软件包中

17.10.7

• 回溯17.10：为项目和组工作项生成独立的fixtures
• [回溯]修复Import::GitHubService中的不稳定规范
• [回溯] 17.10：为稳定分支流水线启用FF_TIMESTAMPS
• 将gitlab-shell升级到v14.42.0
• 删除ci_runner_machines_archived表
• 更新过时的测试证书[17.10]
• 确保正确版本的Nginx模块包含在软件包中

更新

要更新GitLab，请参阅更新页面。 要更新GitLab Runner，请参阅更新Runner页面。

接收补丁通知

要接收发送到收件箱的补丁博客通知，请访问我们的联系我们页面。 要通过RSS接收发布通知，请订阅我们的补丁发布RSS源或我们所有发布的RSS源。