Resumo
O GitLab liberou correções em 10 vulnerabilidades que afetam edições Community e Enterprise. As versões liberadas (18.6.2, 18.5.4 e 18.4.6) tratam falhas de alta severidade — incluindo XSS em Wiki e problemas de encoding em relatórios de vulnerabilidade — e uma falha de GraphQL que pode ser usada para DoS.
Descoberta e escopo / O que mudou agora
A lista pública de CVEs inclui quatro problemas de alta severidade (entre eles CVE‑2025‑12716 e CVE‑2025‑8405 com CVSS 8.7) e outras falhas de complexidade variável. As atualizações já estão aplicadas no GitLab.com; a recomendação do fornecedor é que instalações self‑managed atualizem imediatamente.
Vetor e exploração / Mitigações
As vulnerabilidades cobrem vetores distintos:
- XSS em funcionalidades de Wiki e Swagger UI — possível tomada de sessão ou execução de ações em nome de usuários.
- Improper encoding/HTML injection em relatórios de vulnerabilidade — pode levar a exibicação de conteúdo malicioso para usuários que visualizem relatórios.
- GraphQL com bypass de limites de complexidade — um atacante não autenticado pode construir consultas que exauram recursos, causando DoS.
Medidas imediatas incluem aplicar as versões 18.6.2 / 18.5.4 / 18.4.6, revisar configurações de exposição pública e monitorar endpoints GraphQL e interfaces de upload para padrões anômalos.
Impacto e alcance / Setores afetados
Instâncias self‑hosted de GitLab (empresas, provedores de serviços e times de desenvolvimento) são as principais afetadas. A falha em WebAuthn que permite bypass para usuários com 2FA indica risco direto a controles de autenticação em ambientes que dependem fortemente de GitLab para CI/CD e gestão de código.
Limites das informações / O que falta saber
O fornecedor divulgou notas de release com migrações de banco de dados que podem exigir janelas de manutenção; detalhes do impacto operacional dependem do ambiente (single‑node vs multi‑node). O fornecedor não reportou exploração ativa pública na nota citada, mas a criticidade e a presença em instalações self‑hosted elevam o risco.
Repercussão / Próximos passos
Equipes de segurança e plataformas de DevOps devem:
- Planejar e aplicar atualização para as versões corrigidas com prioridade alta.
- Verificar a necessidade de janelas de manutenção para migrações de banco de dados e seguir procedimentos de zero‑downtime quando aplicáveis.
- Auditar logs e buscar indicadores de abuso em endpoints GraphQL, Swagger UI e funcionalidades de Wiki.
Para organizações que não podem atualizar imediatamente, recomenda‑se limitar acesso a instâncias GitLab via rede (ACLs/firewall) e endurecer autenticação e controles de acesso até a aplicação das correções.