HIGHCVE-2026-7481CVSS 8.7

CVE-2026-7481: XSS in GitLab 16.4–18.11.3

プラットフォーム

gitlab

コンポーネント

gitlab

修正版

18.11.3

NVDで見る

保存

CVE-2026-7481は、GitLab EEにおけるクロスサイトスクリプティング（XSS）脆弱性です。この脆弱性は、認証されたユーザーが開発者権限を持っている場合に悪用される可能性があり、攻撃者は他のユーザーのブラウザ上で任意のJavaScriptコードを実行できるようになります。影響を受けるバージョンはGitLab EEの16.4.0から18.11.3です。この問題はGitLabによって修正されており、バージョン18.11.3へのアップデートが推奨されます。

影響と攻撃シナリオ

このXSS脆弱性は、攻撃者がGitLabのインターフェースを介して悪意のあるスクリプトを注入することを可能にします。攻撃者は、被害者のブラウザでJavaScriptコードを実行し、Cookieの窃取、セッションハイジャック、またはユーザーを悪意のあるWebサイトにリダイレクトするなど、さまざまな攻撃を実行できます。開発者権限を持つユーザーが脆弱性を悪用した場合、組織内の機密情報へのアクセスや、他のユーザーのGitLabアカウントの制御が可能になるため、広範囲にわたる影響が想定されます。この脆弱性は、ユーザーの機密データ、Gitリポジトリ、およびGitLabインスタンス自体のセキュリティを脅かす可能性があります。

悪用の状況

CVE-2026-7481は、2026年5月14日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、注意が必要です。この脆弱性は、GitLabのセキュリティチームによって積極的に対応されており、パッチが提供されています。CISAもこの脆弱性に関する情報を公開しています。

脅威インテリジェンス

エクスプロイト状況

概念実証不明

CISA KEVNO

インターネット露出高

レポート1 脅威レポート

CISA SSVC

悪用状況none

自動化可能no

技術的影響total

CVSS ベクトル

これらのメトリクスの意味は？

Attack Vector: ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
Attack Complexity: 低 — 特別な条件不要。安定して悪用可能。
Privileges Required: 低 — 有効なユーザーアカウントがあれば十分。
User Interaction: 必要 — 被害者がファイルを開く、リンクをクリックするなどのアクションが必要。
Scope: 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
Confidentiality: 高 — 機密性の完全喪失。全データが読み取り可能。
Integrity: 高 — 任意のデータの書き込み・変更・削除が可能。
Availability: なし — 可用性への影響なし。

影響を受けるソフトウェア

コンポーネントgitlab

ベンダーGitLab

最小バージョン16.4.0

最大バージョン18.11.3

修正版18.11.3

弱点分類 (CWE)

CWE-79

タイムライン

予約済み2026-04-30
公開日2026-05-14

緩和策と回避策

この脆弱性への最良の対応は、GitLab EEをバージョン18.11.3以降にアップデートすることです。アップデートがすぐに利用できない場合、WAF（Web Application Firewall）を使用して、XSS攻撃をブロックするルールを実装することを検討してください。また、入力サニタイズ機能を強化し、ユーザー入力を厳密に検証することで、攻撃のリスクを軽減できます。GitLabのセキュリティ設定を確認し、開発者権限の付与を必要最小限に抑えることも重要です。アップデート後、GitLabインスタンスのログを監視し、不審なアクティビティがないか確認してください。

修正方法翻訳中…

Actualice GitLab a la versión 18.9.7 o superior, 18.10.6 o superior, o 18.11.3 o superior para mitigar la vulnerabilidad de Cross-Site Scripting (XSS).  Esta actualización corrige la falta de sanitización adecuada de la entrada, previniendo la ejecución de código JavaScript malicioso en el navegador de otros usuarios.

よくある質問

CVE-2026-7481 — XSS in GitLabとは何ですか？

CVE-2026-7481は、GitLab EEのバージョン16.4.0–18.11.3において、認証された開発者権限を持つユーザーが他のユーザーのブラウザでJavaScriptを実行できるクロスサイトスクリプティング（XSS）脆弱性です。

CVE-2026-7481 in GitLabで影響を受けますか？

GitLab EEのバージョン16.4.0–18.11.3を使用している場合は、影響を受ける可能性があります。バージョン18.11.3以降にアップデートすることで、この脆弱性を修正できます。

CVE-2026-7481 in GitLabを修正するにはどうすればよいですか？

GitLab EEをバージョン18.11.3以降にアップデートしてください。アップデートがすぐに利用できない場合は、WAFを使用してXSS攻撃をブロックするルールを実装することを検討してください。

CVE-2026-7481は積極的に悪用されていますか？

現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、注意が必要です。

CVE-2026-7481に関するGitLabの公式アドバイザリはどこで入手できますか？

GitLabのセキュリティアドバイザリページで詳細を確認できます。https://about.gitlab.com/security/advisories/

あなたのプロジェクトは影響を受けていますか?

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャン CVEを検索

scanZone.liveBadgescanZone.eyebrow

今すぐ試す — アカウント不要

Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手動スキャンSlack/メールアラートContinuous monitoringホワイトラベルレポート

依存関係ファイルをドラッグ＆ドロップ

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...

ファイルを選択