Gitlab 報告：可能造成遠端程式碼執行的路徑遊走 私密物件透過專案匯入而洩露 透過 Elasticsearch 整合造成附註洩露 多個聊天通知中發生 DNS 重新繫結 SSRF 相依性清單中的弱點洩露狀態 相關分支名稱的 Cycle Analytics Exposure 中的認可計數洩露 從已封鎖使用者推送的標籤 透過整合洩露給客體成員的分支和認可 將使用者新增到受保護環境時發生 IDOR 能夠存取登錄資訊的先前專案成員 未經授權存取 grafana 指標 針對先前的專案成員建立的 Todos 更新 Mattermost 相依性 洩露特 Admin 頁面上的 AWS 秘密金鑰 儲存在群組及使用者設定檔欄位中的 XSS 透過專案 API 造成分叉專案資訊洩露 問題和認可註解頁面中發生拒絕服務 以純文字格式儲存的 Token

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 12.5 之前的 GitLab Community Edition (CE) 和 Enterprise Edition (EE) 具有不正確的存取控制 (問題 2 之 2)。 (CVE-2019-19260)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Gitlab 报告：路径遍历可能造成远程代码执行 通过项目导入造成私有目标泄露 通过 Elasticsearch 集成造成记录泄露 通过 Elasticsearch 集成造成注释泄露 多种聊天通知中的 DNS 重新绑定 SSRF 依存关系列表中的漏洞状态泄露 周期分析中的提交计数泄露 相关分支名称泄露 从已封锁用户推出的标签 分支和提交通过集成泄露给客户机成员 将用户添加到受保护的环境中时造成 IDOR 前项目成员能够访问存储库信息 未经授权访问 grafana 指标 为前项目成员创建了待办事项 更新最重要的依存关系 特定管理员页面上的 AWS 密钥泄露 群组和用户资料字段中存在存储型 XSS 通过项目 API 造成分叉项目信息泄露 问题和提交注释页面中的拒绝服务 明文存储的令牌

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - GitLab Community Edition (CE) 和 Enterprise Edition (EE) 之前版本的 12.5 存在错误的访问控制第 2 个问题共 2 个问题。 (CVE-2019-19260)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Gitlab による報告：

リモートコード実行の可能性があるパストラバーサル

プロジェクトのインポートで漏洩したプライベートオブジェクト

Elasticsearch統合によるメモの漏洩

Elasticsearch統合によるコメントの漏洩

さまざまなチャット通知でのDNS Rebind SSRF

依存関係リストの脆弱性ステータスの漏洩

Cycle Analyticsでのコミットカウントの漏洩

関連するブランチ名の漏洩

ブロックされたユーザーからのタグプッシュ

統合によりゲストメンバーに公開されるブランチとコミット

保護された環境にユーザーを追加する際のIDOR

リポジトリ情報にアクセスできる元プロジェクトメンバー

grafanaメトリックへの不正アクセス

元プロジェクトメンバー用に作成されたTodo

Mattermost依存関係を更新

特定の管理者ページでのAWS秘密鍵の漏洩

GroupおよびUserプロファイルフィールドの蓄積型XSS

Project APIを介して開示された分岐プロジェクト情報

問題およびコミットコメントページでのサービス拒否

平文で保存されたトークン

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - GitLab Community EditionCEおよび Enterprise 12.5 EditionEEには、不適切なアクセスコントロールがあります問題 2/2。CVE-2019-19260

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Gitlab reports :

Path traversal with potential remote code execution

Private objects exposed through project import

Disclosure of notes via Elasticsearch integration

Disclosure of comments via Elasticsearch integration

DNS Rebind SSRF in various chat notifications

Disclosure of vulnerability status in dependency list

Disclosure of commit count in Cycle Analytics

Exposure of related branch names

Tags pushes from blocked users

Branches and Commits exposed to Guest members via integration

IDOR when adding users to protected environments

Former project members able to access repository information

Unauthorized access to grafana metrics

Todos created for former project members

Update Mattermost dependency

Disclosure of AWS secret keys on certain Admin pages

Stored XSS in Group and User profile fields

Forked project information disclosed via Project API

Denial of Service in the issue and commit comment pages

Tokens stored in plaintext

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - GitLab Community Edition (CE) and Enterprise Edition (EE) through 12.5 has Incorrect Access Control (issue     2 of 2). (CVE-2019-19260)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
131466	FreeBSD：Gitlab -- 多個弱點 (1aa7a094-1147-11ea-b537-001b217b3468)	Nessus	FreeBSD Local Security Checks	12/3/2019	1/8/2020	critical
258545	Linux Distros 未修補的弱點：CVE-2019-19260	Nessus	Misc.	8/30/2025	8/30/2025	medium
131466	FreeBSD：Gitlab -- 多个漏洞 (1aa7a094-1147-11ea-b537-001b217b3468)	Nessus	FreeBSD Local Security Checks	12/3/2019	1/8/2020	critical
258545	Linux Distros 未修补的漏洞：CVE-2019-19260	Nessus	Misc.	8/30/2025	8/30/2025	medium
131466	FreeBSD：Gitlab -- 複数の脆弱性（1aa7a094-1147-11ea-b537-001b217b3468）	Nessus	FreeBSD Local Security Checks	12/3/2019	1/8/2020	critical
258545	Linux Distros のパッチ未適用の脆弱性: CVE-2019-19260	Nessus	Misc.	8/30/2025	8/30/2025	medium
131466	FreeBSD : Gitlab -- Multiple Vulnerabilities (1aa7a094-1147-11ea-b537-001b217b3468)	Nessus	FreeBSD Local Security Checks	12/3/2019	1/8/2020	critical
258545	Linux Distros Unpatched Vulnerability : CVE-2019-19260	Nessus	Misc.	8/30/2025	8/30/2025	medium

Detections

Analytics

Plugins Search

critical

medium

critical

medium

critical

medium

critical

medium