HIGHCVE-2026-7377CVSS 8.7

CVE-2026-7377: XSS in GitLab Customizable Analytics Dashboards

プラットフォーム

gitlab

コンポーネント

gitlab

修正版

18.11.3

NVDで見る

保存

CVE-2026-7377は、GitLab EEのカスタマイズ可能なアナリティクスダッシュボードに存在するクロスサイトスクリプティング(XSS)脆弱性です。この脆弱性により、認証された攻撃者は他のユーザーのブラウザ上で任意のJavaScriptコードを実行する可能性があります。影響を受けるバージョンはGitLab EE 18.7.0から18.11.3までの範囲です。GitLabは18.11.3でこの問題を修正しました。

影響と攻撃シナリオ

このXSS脆弱性は、攻撃者がGitLabのユーザーセッションを乗っ取り、機密情報を盗み出すことを可能にします。攻撃者は、他のユーザーになりすましてGitLabの機能を操作したり、悪意のあるスクリプトを仕込んだりすることができます。例えば、ユーザーの認証情報を盗み出し、GitLabリポジトリに不正にアクセスしたり、機密データを改ざんしたりする可能性があります。この脆弱性は、GitLabのカスタマイズ可能なアナリティクスダッシュボードを使用している組織にとって、重大なリスクとなります。類似のXSS脆弱性は、Webアプリケーションにおける一般的な攻撃ベクトルであり、ユーザーの信頼を損なう可能性があります。

悪用の状況

この脆弱性は、2026年5月14日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていません。しかし、XSS脆弱性は一般的に悪用される可能性が高いため、早急な対応が必要です。NVDおよびCISAの情報を注視し、最新のセキュリティ情報を収集してください。EPSSスコアは、現時点では評価待ちです。

脅威インテリジェンス

エクスプロイト状況

概念実証不明

CISA KEVNO

インターネット露出高

レポート1 脅威レポート

CISA SSVC

悪用状況none

自動化可能no

技術的影響total

CVSS ベクトル

これらのメトリクスの意味は？

Attack Vector: ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
Attack Complexity: 低 — 特別な条件不要。安定して悪用可能。
Privileges Required: 低 — 有効なユーザーアカウントがあれば十分。
User Interaction: 必要 — 被害者がファイルを開く、リンクをクリックするなどのアクションが必要。
Scope: 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
Confidentiality: 高 — 機密性の完全喪失。全データが読み取り可能。
Integrity: 高 — 任意のデータの書き込み・変更・削除が可能。
Availability: なし — 可用性への影響なし。

影響を受けるソフトウェア

コンポーネントgitlab

ベンダーGitLab

最小バージョン18.7.0

最大バージョン18.11.3

修正版18.11.3

弱点分類 (CWE)

CWE-79

タイムライン

予約済み2026-04-29
公開日2026-05-14

緩和策と回避策

この脆弱性への主な対策は、GitLab EEをバージョン18.11.3以降にアップデートすることです。もしアップデートが直ちに不可能であれば、一時的な緩和策として、カスタマイズ可能なアナリティクスダッシュボードの機能を制限したり、入力値の検証を強化したりすることを検討してください。Webアプリケーションファイアウォール(WAF)を導入し、XSS攻撃を検知・防御することも有効です。また、GitLabのログを監視し、不審なアクティビティを検出するためのルールを設定することも重要です。アップデート後、ダッシュボードの動作を検証し、XSS攻撃が発生していないことを確認してください。

修正方法翻訳中…

Actualice GitLab a la versión 18.9.7 o superior, 18.10.6 o superior, o 18.11.3 o superior. Esta actualización corrige una vulnerabilidad de Cross-Site Scripting (XSS) en los paneles analíticos personalizables, evitando la ejecución de código JavaScript malicioso en el navegador de otros usuarios.

よくある質問

CVE-2026-7377 — XSS in GitLabの脆弱性とは何ですか？

CVE-2026-7377は、GitLab EEのカスタマイズ可能なアナリティクスダッシュボードにおけるクロスサイトスクリプティング(XSS)脆弱性です。認証されたユーザーが他のユーザーのブラウザで任意のJavaScriptを実行できる可能性があります。

CVE-2026-7377 in GitLabの影響を受けていますか？

GitLab EEのバージョンが18.7.0–18.11.3である場合、この脆弱性の影響を受ける可能性があります。GitLab EE 18.11.3以降を使用している場合は影響を受けません。

CVE-2026-7377 in GitLabを修正するにはどうすればよいですか？

GitLab EEをバージョン18.11.3以降にアップデートすることで、この脆弱性を修正できます。アップデートが難しい場合は、一時的な緩和策として、ダッシュボードの機能を制限したり、入力値の検証を強化したりすることを検討してください。

CVE-2026-7377は現在積極的に悪用されていますか？

現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、早急な対応が必要です。

CVE-2026-7377に関するGitLabの公式アドバイザリはどこで入手できますか？

GitLabの公式アドバイザリは、GitLabのセキュリティアドバイザリページで確認できます。https://about.gitlab.com/security/advisories/

あなたのプロジェクトは影響を受けていますか?

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャン CVEを検索

scanZone.liveBadgescanZone.eyebrow

今すぐ試す — アカウント不要

Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手動スキャンSlack/メールアラートContinuous monitoringホワイトラベルレポート

依存関係ファイルをドラッグ＆ドロップ

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...

ファイルを選択