🇰🇷 한글 설명
GitLab CE/EE 18.11 버전 이전에서 Mermaid 샌드박스의 입력 검증 부족으로 인한 XSS 취약점입니다. 인증된 공격자가 악의적인 콘텐츠를 주입하여 다른 사용자의 브라우저에서 실행하도록 할 수 있습니다.
💡 쉬운 설명
GitLab의 다이어그램 기능에 보안 문제가 있어서 로그인한 사용자가 다른 사용자 화면에 악의적인 코드를 주입할 수 있습니다. 이를 통해 민감한 정보를 탈취하거나 세션을 장악할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.11 before 18.11.1 that under certain conditions could have allowed an authenticated user to load unauthorized content into another user's browser due to improper input validation in the Mermaid sandbox.
📍 영향받는 시스템
GitLab CE/EE 18.11 이전 모든 버전 (18.11.1 이상에서 패치됨)
⚔️ 공격 벡터
인증된 사용자가 Mermaid 다이어그램 입력값을 조작하여 샌드박스 필터링을 우회한 후 JavaScript 코드 실행
🛡️ 대응 방법
GitLab을 18.11.1 이상 버전으로 업그레이드
🔧 검증 코드
버전 번호가 18.11.1 이상이면 패치됨, 18.11 이하면 취약 상태
cat /opt/gitlab/VERSION 2>/dev/null || grep -i 'version' /opt/gitlab/Gemfile.lock 2>/dev/null | head -1