GitLab EEの脆弱性証拠テーブルのクロスサイトスクリプティング
- カテゴリ
- 脆弱性の公表
GitLabの発表によると、GitLab EEの脆弱性の証拠テーブルの描画処理にクロスサイトスクリプティングCVE-2026-6896があり、条件によってはdeveloperロールの権限を持つ認証済みユーザーが、他のユーザーのブラウザのセッションで任意のスクリプトを実行できた可能性がある［1］。GitLabは同じリリースでこれを含む8件を修正し、GitLab.comはすでに修正済みの版で稼働している［1］。
脆弱性の内容
GitLabは、CVE-2026-6896の原因をユーザーが入力した値の無害化が不適切なことだと説明した［1］。CVSS 3.1のベクトルはCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:Nである〔注1〕［1］。報告者のyvvdwfは、GitLabのHackerOneのバグ報奨金プログラムを通じて報告した［1］。
CVE記録では、割当元（CNA）がGitLab、弱点の分類がCWE-79になっている［2］。
| CVE | 概要 | 成立条件 | CVSS | 資料 |
|---|---|---|---|---|
| CVE-2026-6896 | 脆弱性の証拠テーブルの描画処理のクロスサイトスクリプティング（High）。他のユーザーのブラウザのセッションで任意のスクリプトを実行できた可能性 | developerロールの権限を持つ認証済みユーザー | 8.7 | ［1］ |
| CVE-2026-13320 | wikiマークアップの描画のHTMLインジェクション（High）。他のユーザーのブラウザのセッションで任意のスクリプトを実行できた可能性 | 認証済みユーザー | 7.3 | ［1］ |
| CVE-2026-11827 | リポジトリのミラーリングの認証情報の保護不足（Medium）。他のユーザーの保存された認証情報を得られた可能性 | maintainerロールの権限を持つ認証済みユーザー | 4.9 | ［1］ |
| CVE-2026-8472 | work itemsの不適切なアクセス制御（Medium）。非公開プロジェクトのwork itemのメタデータを読めた可能性 | 最小限のアクセス権限の認証済みユーザー | 4.3 | ［1］ |
| CVE-2026-7492 | コミットのディスカッション表示の認可の欠如（Medium）。プロジェクト間の参照ページの認可制御の不備により、非公開プロジェクトの存在を知り得た可能性 | 未認証のユーザー | 4.3 | ［1］ |
| CVE-2025-12506 | タグかブランチの参照の曖昧さ（Low）。Webの画面の表示とダウンロードできる内容が異なるリポジトリを作れた可能性 | 認証済みユーザー | 3.5 | ［1］ |
| CVE-2026-13151 | グループレベルの設定の不適切な認可（Low）。意図された権限を超えてグループレベルの設定を変更できた可能性 | 認証済みユーザー | 2.7 | ［1］ |
| CVE-2026-6352 | コンプライアンス違反の管理の不適切な認可（Low）。一部のGraphQLの操作の認可の不備により、コンプライアンス違反の記録を変更できた可能性 | auditorレベルのアクセス権を持つ認証済みユーザー | 2.7 | ［1］ |
時系列
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| GitLab EE（CVE-2026-6896） | 13.11以降18.11.7未満、19.0以降19.0.4未満、19.1以降19.1.2未満 | 18.11.7、19.0.4、19.1.2 | ［1］ |
| GitLab CE/EE（CVE-2026-13320） | 15.7以降18.11.7未満、19.0以降19.0.4未満、19.1以降19.1.2未満 | 18.11.7、19.0.4、19.1.2 | ［1］ |
| GitLab EE（CVE-2026-11827） | 9.5以降18.11.7未満、19.0以降19.0.4未満、19.1以降19.1.2未満 | 18.11.7、19.0.4、19.1.2 | ［1］ |
| GitLab EE（CVE-2026-8472） | 18.9以降18.11.7未満、19.0以降19.0.4未満、19.1以降19.1.2未満 | 18.11.7、19.0.4、19.1.2 | ［1］ |
| GitLab CE/EE（CVE-2026-7492） | 9.1以降18.11.7未満、19.0以降19.0.4未満、19.1以降19.1.2未満 | 18.11.7、19.0.4、19.1.2 | ［1］ |
| GitLab CE/EE（CVE-2025-12506） | 16.5以降18.11.7未満、19.0以降19.0.4未満、19.1以降19.1.2未満 | 18.11.7、19.0.4、19.1.2 | ［1］ |
| GitLab EE（CVE-2026-13151） | 16.10以降18.11.7未満、19.0以降19.0.4未満、19.1以降19.1.2未満 | 18.11.7、19.0.4、19.1.2 | ［1］ |
| GitLab EE（CVE-2026-6352） | 18.2以降18.11.7未満、19.0以降19.0.4未満、19.1以降19.1.2未満 | 18.11.7、19.0.4、19.1.2 | ［1］ |
GitLabは、製品の導入形態（omnibus、ソースコード、Helm chartなど）を特に書いていないものは、すべての形態が影響を受けるとした［1］。
悪用の状況
CISAはCVE記録に加えたSSVCの評価で、Exploitationをnone、Automatableをno、Technical Impactをtotalとした［2］。NVDの記録には、CISAの既知の悪用された脆弱性（KEV）カタログへの追加日の項目が無い［3］。
修正と回避策
GitLabは、自己管理型のすべてのGitLabを19.1.2、19.0.4、18.11.7のいずれかへ直ちにアップグレードするよう強く推奨した［1］。GitLab Dedicatedの顧客は対応を要しない［1］。
GitLabはリリースノートで、このパッチにはアップグレードの手順に影響しうるデータベースの移行が含まれると説明した［1］。単一ノードの環境では、移行が終わるまでGitLabが起動できないため、アップグレード中に停止が生じる［1］。複数ノードの環境では、適切なゼロダウンタイムの手順で停止なしに適用できる［1］。19.1.2と19.0.4は、アップグレードの後に実行できるデプロイ後の移行も含む［1］。
未公表の事項
- 注入に使える入力欄と操作の技術的な詳細（GitLabは、各脆弱性の詳細を記したissueを、修正したリリースの90日後にissueトラッカーで公開するとした［1］）
- 影響を受ける版で稼働している環境の数
- 修正版への更新のほかの回避策
- GitLabによる悪用の有無の説明
注
- 〔注1〕NVDは自らの評価を5.4（C:L/I:L）とし、GitLabの8.7をSecondaryとして併記している［3］。
出典
当事者
- ［1］GitLab Inc.『GitLab Patch Release: 19.1.2, 19.0.4, 18.11.7』（2026年7月8日公開）
公的機関
- ［2］CVE Program『CVE-2026-6896』（2026年7月8日公開、2026年7月9日更新）
- ［3］National Institute of Standards and Technology『CVE-2026-6896』（2026年7月8日公開、2026年10月25日更新）
更新記録
- 2026年7月11日：公開した。
- 2026年10月25日：NISTのNVDの10月25日の更新版（出典3）を加え、「時系列」「悪用の状況」「注」を改めた。