🇰🇷 한글 설명
GitLab CE/EE의 특정 버전에서 인증된 사용자가 머지 리퀘스트(Merge Request) 제목에 악성 HTML을 삽입하여 다른 사용자에게 대화 상자 내 콘텐츠를 렌더링할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 15.6 이상 18.4.6 미만, 18.5 이상 18.5.4 미만, 18.6 이상 18.6.2 미만 버전에서 영향을 받습니다.
💡 쉬운 설명
로그인한 사용자가 머지 리퀘스트 제목에 몰래 나쁜 코드를 넣어 다른 사람의 화면에 이상한 창이 뜨게 만들 수 있는 문제입니다. 보안 패치가 적용된 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.6 before 18.4.6, 18.5 before 18.5.4, and 18.6 before 18.6.2 that could have allowed an authenticated user to, under certain conditions, render content in dialogs to other users by injecting malicious HTML content into merge request titles.
📍 영향받는 시스템
GitLab CE/EE (15.6 < 18.4.6, 18.5 < 18.5.4, 18.6 < 18.6.2)
⚔️ 공격 벡터
인증된 사용자가 머지 리퀘스트 제목에 악성 HTML 코드를 삽입하여 공격
🛡️ 대응 방법
GitLab을 18.4.6, 18.5.4 또는 18.6.2 이상의 보안 패치 버전으로 업데이트
🔧 검증 코드
출력된 GitLab 버전이 취약점이 해결된 버전(18.4.6, 18.5.4, 18.6.2 이상)인지 확인
gitlab-rake gitlab:env:info | grep 'GitLab version'