🇰🇷 한글 설명
GitLab EE의 맞춤형 분석 대시보드에서 입력값 검증이 제대로 이루어지지 않아 발생하는 취약점입니다. 인증된 사용자가 다른 사용자의 브라우저 컨텍스트에서 임의의 자바스크립트를 실행할 수 있는 XSS(교차 사이트 스크립팅) 문제가 존재합니다.
💡 쉬운 설명
대시보드 설정에 악성 코드를 숨겨두어, 이를 확인하는 다른 사용자의 브라우저에서 코드가 자동으로 실행되게 하는 공격입니다. 이를 통해 다른 사용자의 권한을 도용하거나 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 18.2 before 18.8.9, 18.9 before 18.9.5, and 18.10 before 18.10.3 that, in customizable analytics dashboards, could have allowed an authenticated user to execute arbitrary JavaScript in the context of other users' browsers due to improper input sanitization.
📍 영향받는 시스템
GitLab EE (18.2 ~ 18.8.9 미만, 18.9 ~ 18.9.5 미만, 18.10 ~ 18.10.3 미만)
⚔️ 공격 벡터
인증된 공격자가 분석 대시보드에 악성 스크립트를 삽입하여 다른 사용자가 해당 대시보드를 조회할 때 실행되도록 유도함
🛡️ 대응 방법
GitLab EE를 패치 버전인 18.8.9, 18.9.5 또는 18.10.3 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 18.8.9, 18.9.5, 18.10.3 보다 낮은 버전인 경우 업데이트가 필요합니다.
sudo gitlab-rake gitlab:env:info | grep "GitLab version"