🇰🇷 한글 설명
GitLab CE/EE의 구버전에서 구문 강조(syntax-highlighted) 출력 시 HTML 속성을 적절히 정제하지 않아 발생하는 취약점입니다. 인증된 사용자가 특수하게 제작된 저장소를 통해 다른 사용자의 브라우저 세션에서 임의의 자바스크립트를 실행할 수 있습니다.
💡 쉬운 설명
해커가 조작된 코드가 담긴 저장소를 만들면, 다른 사용자가 이를 볼 때 해커가 심어놓은 악성 코드가 실행될 수 있습니다. 이를 통해 사용자의 로그인 정보나 개인 정보를 훔칠 위험이 있습니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.1 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user to execute arbitrary JavaScript in the context of other users' browser sessions via a specially crafted repository, due to improper sanitization of HTML attributes in syntax-highlighted output.
📍 영향받는 시스템
GitLab CE/EE 19.1 < 19.2.8, 19.3 < 19.3.5, 19.4 < 19.4.2
⚔️ 공격 벡터
인증된 사용자가 악의적인 HTML 속성이 포함된 코드를 저장소에 업로드하여 다른 사용자의 브라우저를 공격
🛡️ 대응 방법
GitLab을 최신 보안 패치가 적용된 버전(19.2.8, 19.3.5, 19.4.2 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인합니다.
curl -s https://gitlab.com/api/v4/version | grep -E '"version":"(19\[\.\d\]){2}\.(2\.8|3\.5|4\.2|[5-9]\d|[1-9]\d{2,})"'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
GitLab 제품 보안 업데이트 권고
P4
📅 2026-10-14 · sec_notice
GitLab CE/EE 및 GitLab AI Gateway 제품에서 정수 오버플로우, XSS, 권한 부여 오류 등 다양한 보안 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 공격에 노출될 수 있으므로 권고된 최신 버전으로 즉시 업데이트해야 합니다.