支持本站 — 捐款将帮助我们持续运营

目标：1000 元，已筹：736 元

73.6%
立即捐款
一、 漏洞 CVE-2025-11224 基础信息
漏洞信息
                                        # GitLab 跨站脚本漏洞

## 概述
GitLab CE/EE 中存在一个已修复的存储型跨站脚本（XSS）漏洞，源于 Kubernetes 代理功能中对输入验证不当。

## 影响版本
- 15.10 ≤ 版本 < 18.3.6  
- 18.4 ≤ 版本 < 18.4.4  
- 18.5 ≤ 版本 < 18.5.2

## 细节
该漏洞存在于 Kubernetes 代理功能中，由于未能正确验证用户输入，经过身份验证的用户可利用此问题在受影响实例中注入恶意脚本。

## 影响
经认证的攻击者可利用此漏洞执行存储型跨-site scripting（XSS），在受害用户浏览受影响页面时，触发并执行恶意脚本，可能导致会话劫持或敏感信息泄露。
神龙判断

是否为 Web 类漏洞： 未知

判断理由：

N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in GitLab
来源：美国国家漏洞数据库 NVD
漏洞描述信息
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 15.10 before 18.3.6, 18.4 before 18.4.4, and 18.5 before 18.5.2 that could have allowed an authenticated user to execute stored cross-site scripting through improper input validation in the Kubernetes proxy functionality.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
漏洞标题
GitLab CE/EE 跨站脚本漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
GitLab Enterprise Edition（EE）和GitLab Community Edition（CE）都是美国GitLab公司的产品。GitLab Enterprise Edition是一套内容管理系统。GitLab Community Edition是一种社区版 GitLab 。 GitLab CE/EE 18.3.6之前版本、18.4.4之前版本和18.5.2之前版本存在跨站脚本漏洞，该漏洞源于Kubernetes代理功能输入验证不当，可能导致经过身份验证的用户执行存储型跨站脚本攻击。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
跨站脚本
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-11224 的公开POC
#POC 描述源链接神龙链接
三、漏洞 CVE-2025-11224 的情报信息

  • 标题： GitLab Patch Release: 18.5.2, 18.4.4, 18.3.6 | GitLab -- 🔗来源链接

    标签：

    神龙速读：
                                            - **发布日期**: 2023年11月21日
- **发布版本**: GitLab 18.5.2, 18.4.4, 18.3.6
- **适用版本**: GitLab Community Edition (CE) 和 Enterprise Edition (EE)
- **关键安全更新**: 包含重要的bug和安全修复
- **推荐行动**: 强烈建议所有受影响版本的安装尽快升级到最新版本
- **具体安全修复**:
  - CVE-2025-11224: Cross-site scripting issue in k8s proxy impacts GitLab CE/EE
  - CVE-2025-11865: Incorrect Authorization issue in workflows impacts GitLab EE
  - CVE-2025-2615: Information Disclosure issue in GraphQL subscriptions impacts GitLab CE/EE
  - CVE-2025-7000: Information Disclosure issue in access control impacts GitLab CE/EE
  - CVE-2025-6945: Prompt Injection issue in GitLab Duo review impacts GitLab EE
  - CVE-2025-11990: Client Side Path Traversal issue in branch names impacts GitLab EE
  - CVE-2025-6171: Information Disclosure issue in packages API endpoint impacts GitLab CE/EE
  - CVE-2025-7736: Improper Access Control issue in GitLab Pages impacts GitLab CE/EE
  - CVE-2025-12983: Denial of service issue in markdown impacts GitLab CE/EE
- **其他重要信息**: 包含libxml2的安全更新，fix了一系列bug以提高稳定性和性能
    GitLab Patch Release: 18.5.2, 18.4.4, 18.3.6 | GitLab

  • 标题： Not Found -- 🔗来源链接

    标签：issue-trackingpermissions-required

    神龙速读：
                                            从这个网页截图中获取到的关于漏洞的关键信息如下：

- **HTTP状态码**：404，表示请求的页面未找到。
- **错误信息**：
  - 确保地址正确，页面没有被移动。
  - 可以联系GitLab管理员，如果认为这是一个错误。

- **搜索栏**：可以搜索项目、问题等。
- **导航链接**：
  - Home
  - Sign In / Register
  - Help

这些信息表明页面不存在，但没有显示出明显的漏洞。
    Not Found

  • 标题： Just a moment... -- 🔗来源链接

    标签：technical-descriptionexploitpermissions-required

    神龙速读：
                                            - **Domain:** hackerone.com
- **Message:** 
  - Verifying you are human. This may take a few seconds.
  - hackerone.com needs to review the security of your connection before proceeding.
  - Verification is taking longer than expected. Check your Internet connection and refresh the page if the issue persists.
- **Ray ID:** 9c0a93a5bee92fda
- **Security Provider:** Cloudflare
    Just a moment...
  • https://nvd.nist.gov/vuln/detail/CVE-2025-11224
四、漏洞 CVE-2025-11224 的评论
匿名用户
2026-01-15 06:08:03

Zaproxy alias impedit expedita quisquam pariatur exercitationem. Nemo rerum eveniet dolores rem quia dignissimos.

发表评论