CVE-2025-1763

چکیده

یک آسیب‌پذیری در برخی نسخه‌های GitLab EE شناسایی شده است که به مهاجم اجازه می‌دهد در شرایط خاص، حملات XSS را اجرا کرده و سیاست‌های امنیتی محتوای مرورگر (CSP) را دور بزند. این آسیب پذیری نسخه‌های بین 16.6 تا پیش از 17.9.7، 17.10 تا پیش از 17.10.5 و 17.11 تا پیش از 17.11.1 را تحت تأثیر قرار می‌دهد.

توضیحات

این آسیب‌پذیری در یکی از کامپوننت های GitLab EE مرتبط با مدیریت سیاست امنیت محتوای مرورگر (Content Security Policy Handler) شناسایی شده است. مهاجم می‌تواند با ارسال ورودی‌های دست‌کاری‌شده، اسکریپت‌های مخرب را در مرورگر کاربران اجرا کند. علت اصلی این مسئله، خنثی‌سازی نادرست داده‌های ورودیِ قابل کنترل توسط کاربر در فرآیند ایجاد صفحات وب است که امکان درج کد مخرب در خروجی HTML را فراهم کرده و منجر به اجرای حملات XSS می‌شود.

بهره‌برداری از این آسیب‌پذیری از راه دور امکان‌پذیر بوده و مستلزم تعامل کاربر می‌باشد. تاکنون کد اکسپلویت به‌صورت عمومی منتشر نشده و شرایط فنی لازم برای اجرای حمله پیچیده نیست.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

نتیجه گیری

به کاربران GitLab EE توصیه می‌شود به منظور جلوگیری از سوءاستفاده احتمالی هرچه سریع‌تر به نسخه‌های امن منتشرشده به روزرسانی کنند.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-1763
2. https://www.cvedetails.com/cve/CVE-2025-1763/
3. https://hackerone.com/reports/3016600
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-1763
5. https://vuldb.com/?id.310665
6. https://nvd.nist.gov/vuln/detail/CVE-2025-1763
7. https://cwe.mitre.org/data/definitions/79.html