CVE-2025-12669は、GitLab CE/EEにおけるクロスサイトスクリプティング(XSS)脆弱性です。この脆弱性により、認証されたユーザーは、不適切な入力サニタイズが原因で、他のユーザーに送信されるメール通知に悪意のあるHTMLおよびJavaScriptコードを注入できる可能性があります。影響を受けるバージョンはGitLab 15.11.0から18.11.3までの範囲です。この問題はGitLab 18.11.3で修正されました。
影響と攻撃シナリオ
攻撃者は、このXSS脆弱性を悪用して、ユーザーを悪意のあるウェブサイトにリダイレクトしたり、偽のログインフォームを表示したり、ユーザーのセッションを乗っ取ったりする可能性があります。攻撃者は、被害者のブラウザで任意のJavaScriptコードを実行し、機密情報を盗んだり、システムを制御したりする可能性があります。この脆弱性は、特にメール通知を頻繁に利用する組織にとって、重大なリスクとなります。攻撃者は、この脆弱性を利用して、組織内の広範囲なユーザーに影響を与える可能性があります。
悪用の状況
この脆弱性は、現時点では公開されているエクスプロイトコードが存在します。攻撃者による悪用が懸念されます。NVDおよびCISAの公開日は2026年5月14日です。この脆弱性は、他のXSS脆弱性と類似した攻撃パターンを示す可能性があります。
脅威インテリジェンス
エクスプロイト状況
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- 低 — 有効なユーザーアカウントがあれば十分。
- User Interaction
- 必要 — 被害者がファイルを開く、リンクをクリックするなどのアクションが必要。
- Scope
- 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
- Confidentiality
- 低 — 一部データへの部分的アクセス。
- Integrity
- 低 — 限定的な範囲でデータ変更可能。
- Availability
- なし — 可用性への影響なし。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
緩和策と回避策
この脆弱性への主な対策は、GitLabをバージョン18.11.3以降にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的に以前の安定バージョンにロールバックすることを検討してください。WAF（Web Application Firewall）を導入し、XSS攻撃を検出し、ブロックするように設定することも有効です。また、入力検証を強化し、メール通知に送信されるデータを適切にサニタイズすることで、攻撃のリスクを軽減できます。アップグレード後、メール通知のHTMLコンテンツを検証し、不正なスクリプトが含まれていないことを確認してください。
修正方法翻訳中…
Actualice GitLab a la versión 18.9.7 o superior, 18.10.6 o superior, o 18.11.3 o superior para mitigar la vulnerabilidad de inyección de código en las notificaciones por correo electrónico. Esta actualización corrige la falta de sanitización adecuada de la entrada del usuario, previniendo la inyección de HTML y JavaScript.
よくある質問
CVE-2025-12669 — XSS in GitLabとは何ですか？
CVE-2025-12669は、GitLab CE/EEにおいて、認証されたユーザーがメール通知にHTML/JavaScriptを注入できるクロスサイトスクリプティング(XSS)脆弱性です。
CVE-2025-12669 in GitLabで影響を受けていますか？
GitLabのバージョンが15.11.0–18.11.3の範囲にある場合は、影響を受けている可能性があります。バージョン18.11.3以降にアップグレードしてください。
CVE-2025-12669 in GitLabを修正するにはどうすればよいですか？
GitLabをバージョン18.11.3以降にアップグレードしてください。アップグレードがシステムに影響を与える場合は、一時的に以前の安定バージョンにロールバックすることを検討してください。
CVE-2025-12669は積極的に悪用されていますか？
現時点では公開されているエクスプロイトコードが存在するため、悪用される可能性があります。
CVE-2025-12669に関するGitLabの公式アドバイザリはどこで入手できますか？
GitLabのセキュリティアドバイザリページで確認できます: [https://gitlab.com/security/security-advisories](https://gitlab.com/security/security-advisories)
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...