本分分享極狐GitLab 補丁版本 18.1.2, 18.0.4, 17.11.6 的詳細內容。這幾個版本包含重要的缺陷和安全修復代碼，我們強烈建議所有私有化部署用户應該立即升級到上述的某一個版本。對於極狐GitLab SaaS，技術團隊已經進行了升級，無需用户採取任何措施。

極狐GitLab 正式推出面向 GitLab 老舊版本的專業升級服務，專業技術人員為 GitLab 版本升級提供企業級服務，讓企業業務暢行無憂！

漏洞詳情

CVE-2025-6948

在特定條件下，攻擊者可能通過注入惡意內容，以用户身份執行未授權操作。影響從 17.11 開始到 17.11.6 之前的所有版本、從 18.0 開始到 18.0.4 之前的所有版本以及從 18.1 開始到 18.1.2 之前的所有版本。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N，8.7）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-6948。

CVE-2025-3396

在特定條件下，能夠允許認證項目的所有者通過操作 API 請求來繞過羣組級別的派生限制。影響從 13.3 開始到 17.11.6 之前的所有版本、從 18.0 開始到 18.0.4 之前的所有版本以及從 18.1 開始到 18.1.2 之前的所有版本。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N，4.3）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-3396。

CVE-2025-4972

在特定條件下，能夠允許具有邀請權限的認證用户通過操作羣組邀請功能來繞過羣組級別的邀請限制。影響從 18.0 開始到 18.0.4 之前的所有版本以及從 18.1 開始到 18.1.2 之前的所有版本。這是一個低級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N, 2.7）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-4972。

CVE-2025-6168

在特定條件下，能夠允許認證的維護者通過發送偽造的 API 請求來繞過羣組級別的用户邀請限制。影響從 18.0 開始到 18.0.4 之前的所有版本以及從 18.1 開始到 18.1.2 之前的所有版本。這是一個低級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N，2.7）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-6168。

影響版本

CVE-2025-6948

• 17.11 <=GitLab JH/EE/CE < 17.11.6
• 18.0 <= GitLab JH/EE/CE < 18.0.4
• 18.1 <= GitLab JH/EE/CE < 18.1.2

CVE-2025-3396

• 13.3 <=GitLab JH/EE/CE < 17.11.6
• 18.0 <= GitLab JH/EE/CE < 18.0.4
• 18.1 <= GitLab JH/EE/CE < 18.1.2

CVE-2025-4972

• 18.0 <= GitLab JH/EE < 18.0.4
• 18.1 <= GitLab JH/EE < 18.1.2

CVE-2025-6168

• 18.0 <= GitLab JH/EE < 18.0.4
• 18.1 <= GitLab JH/EE < 18.1.2

升級前提

版本查看

有多種方法可以查看當前 GitLab/極狐GitLab 版本信息的方法，下面推薦兩種常用方法：

第一種：

直接在 GitLab/極狐GitLab 實例 URL 後面加上 /help 即可查看，比如當前實例的地址為 jihulab.com，那麼在瀏覽器中輸入 jihulab.com/help 即可查看到對應的版本信息；

第二種：

對於私有化部署用户來説，如果是管理員可以通過管理中心 --> 儀表盤 --> 組件中心可以看到對應的版本信息。

升級路徑查看

GitLab/極狐GitLab 的升級必須嚴格遵守升級路徑，否則很容易出現問題。升級路徑查看鏈接：https://gitlab.cn/support/toolbox/upgrade-path/。輸入當前版本信息（上一步中的查詢結果），選擇升級的目標版本，即可獲取完整升級路徑。

升級指南

我們強烈建議所有受以下問題描述所影響的安裝實例儘快升級到最新版本。當沒有指明產品部署類型的時候（omnibus、源代碼、helm chart 等），意味着所有的類型都有影響。

對於GitLab/極狐GitLab 私有化部署版的用户，通過將原有的GitLab JH/EE/CE升級至極狐GitLab 18.1.2-jh、18.0.4-jh、17.11.6-jh 版本即可修復該漏洞。

• Omnibus 安裝

使用 Omnibus 安裝部署的實例，升級詳情可以查看極狐GitLab 安裝包安裝升級文檔。

• Docker 安裝

使用 Docker 安裝部署的實例，可使用如下三個容器鏡像將產品升級到上述三個版本：

registry.gitlab.cn/omnibus/gitlab-jh:18.1.2-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:18.0.4-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:17.11.6-jh.0

升級詳情可以查看極狐GitLab Docker 安裝升級文檔。

• Helm Chart 安裝

使用雲原生安裝的實例，可將使用的 Helm Chart 升級到 9.1.2(對應 18.1.2-jh）、9.0.4（對應 18.0.4-jh）、8.11.6（對應 17.11.6-jh）來修復該漏洞。升級詳情可以查看 Helm Chart 安裝升級文檔。

對於SaaS用户（jihulab.com），無需進行任何操作，我們已經升級SaaS以修復該漏洞。

極狐GitLab 技術支持

極狐GitLab 技術支持團隊對付費客户GitLab（基礎版/專業版）提供全面的技術支持，您可以通過https://support.gitlab.cn/#/portal/myticket 將問題提交。

如果您是免費用户，可以查看 GitLab 升級指南！