本分分享極狐GitLab 補丁版本 18.2.1, 18.1.3, 18.0.5 的詳細內容。這幾個版本包含重要的缺陷和安全修復代碼，我們強烈建議所有私有化部署用户應該立即升級到上述的某一個版本。對於極狐GitLab SaaS，技術團隊已經進行了升級，無需用户採取任何措施。
極狐GitLab 正式推出面向 GitLab 老舊版本的專業升級服務，專業技術人員為 GitLab 版本升級提供企業級服務，讓企業業務暢行無憂！
漏洞詳情
| 漏洞標題 | 嚴重等級 | CVE ID |
|---|---|---|
| 跨站點腳本（XSS）問題影響 GitLab JH/EE/CE 中的 k8s 代理 | 高危 | CVE-2025-4700 |
| 跨站點腳本（XSS）問題影響使用 CDN 的 GitLab JH/EE/CE 中的k8s 代理 | 高危 | CVE-2025-4439 |
| 向未認證用户披露敏感信息的問題影響 GitLab JH/EE/CE | 中等 | CVE-2025-7001 |
| 向未認證用户披露敏感信息的問題影響 GitLab JH/EE/CE | 中等 | CVE-2025-0765 |
| 不正確的訪問控制問題影響 GitLab JH/EE | 中等 | CVE-2025-1299 |
CVE-2025-4700
在特定條件下，可能會導致允許攻擊者成功觸發非期望的內容渲染從而導致 XSS 問題，進而影響 Kubernetes 代理。影響從 15.10 開始到 18.0.5 之前的所有版本、從 18.1 開始到 18.1.3 之前的所有版本以及從 18.2 開始到 18.2.1 之前的所有版本。這是一個高危級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N，8.7）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-4700。
CVE-2025-4439
在特定條件下，當實例通過特定內容交付網絡（CDN）提供服務時，可能會允許認證用户執行 XSS 腳本攻擊。影響從 15.10 開始到 18.0.5 之前的所有版本、從 18.1 開始到 18.1.3 之前的所有版本以及從 18.2 開始到 18.2.1 之前的所有版本。這是一個高危級別的安全問題（CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N，7.7）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-4439。
CVE-2025-7001
在特定條件下，能夠允許特權用户通過訪問 API（這些 API 本不可訪問）來獲取特定的 resource_group信息。影響從 15.0 開始到 18.0.5 之前的所有版本以及從 18.1 開始到 18.1.3 之前的所有版本以及從 18.2 開始到 18.2.1 之前的所有版本。這是一箇中等級別的安全問題（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N, 2.7）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-7001。
CVE-2025-0765
在特定條件下，能夠允許未授權用户訪問自定義的服務桌面郵件地址。影響從 17.9 開始到 18.0.5 之前的所有版本以及從 18.1 開始到 18.1.3 之前的所有版本以及從 18.2 開始到 18.2.1 之前的所有版本。這是一箇中等別的安全問題（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N，4.3）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-0765。
CVE-2025-1299
在特定條件下，能夠允許非未授權用户通過發送偽造請求來閲讀部署日誌。影響從 15.4 開始到 18.0.5 之前的所有版本以及從 18.1 開始到 18.1.3 之前的所有版本以及從 18.2 開始到 18.2.1 之前的所有版本。這是一箇中等別的安全問題（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N，4.3）。現在這個問題在最新版本中已經得到了修復，同時被分配為 CVE-2025-1299。
影響版本
CVE-2025-4700
- 15.10 <=GitLab JH/EE/CE < 18.0.5
- 18.1 <= GitLab JH/EE/CE < 18.1.3
- 18.2 <= GitLab JH/EE/CE < 18.2.1
CVE-2025-4439
- 15.10 <=GitLab JH/EE/CE < 18.0.5
- 18.1 <= GitLab JH/EE/CE < 18.1.3
- 18.2 <= GitLab JH/EE/CE < 18.2.1
CVE-2025-7001
- 15.0 <= GitLab JH/EE < 18.0.5
- 18.1 <= GitLab JH/EE < 18.1.3
- 18.2 <= GitLab JH/EE 18.2.1
CVE-2025-0765
- 17.9 <= GitLab JH/EE < 18.0.5
- 18.1 <= GitLab JH/EE < 18.1.3
- 18.2 <= GitLab JH/EE 18.2.1
CVE-2025-1299
- 15.4 <= GitLab JH/EE < 18.0.5
- 18.1 <= GitLab JH/EE < 18.1.3
- 18.2 <= GitLab JH/EE 18.2.1
升級前提
版本查看
有多種方法可以查看當前 GitLab/極狐GitLab 版本信息的方法，下面推薦兩種常用方法：
第一種：
直接在 GitLab/極狐GitLab 實例 URL 後面加上 /help 即可查看，比如當前實例的地址為 jihulab.com，那麼在瀏覽器中輸入 jihulab.com/help 即可查看到對應的版本信息；
第二種：
對於私有化部署用户來説，如果是管理員可以通過管理中心 --> 儀表盤 --> 組件中心可以看到對應的版本信息。
升級路徑查看
GitLab/極狐GitLab 的升級必須嚴格遵守升級路徑，否則很容易出現問題。升級路徑查看鏈接：https://gitlab.cn/support/toolbox/upgrade-path/。輸入當前版本信息（上一步中的查詢結果），選擇升級的目標版本，即可獲取完整升級路徑。
升級指南
我們強烈建議所有受以下問題描述所影響的安裝實例儘快升級到最新版本。當沒有指明產品部署類型的時候（omnibus、源代碼、helm chart 等），意味着所有的類型都有影響。
對於GitLab/極狐GitLab 私有化部署版的用户，通過將原有的GitLab JH/EE/CE升級至極狐GitLab 18.1.2-jh、18.0.4-jh、17.11.6-jh 版本即可修復該漏洞。
- Omnibus 安裝
使用 Omnibus 安裝部署的實例，升級詳情可以查看極狐GitLab 安裝包安裝升級文檔。
- Docker 安裝
使用 Docker 安裝部署的實例，可使用如下三個容器鏡像將產品升級到上述三個版本：
registry.gitlab.cn/omnibus/gitlab-jh:18.2.1-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:18.1.3-jh.0
registry.gitlab.cn/omnibus/gitlab-jh:18.0.5-jh.0升級詳情可以查看極狐GitLab Docker 安裝升級文檔。
- Helm Chart 安裝
使用雲原生安裝的實例，可將使用的 Helm Chart 升級到 9.2.1(對應 18.2.1-jh）、9.1.3（對應 18.1.3-jh）、9.0.5（對應 18.0.5-jh）來修復該漏洞。升級詳情可以查看 Helm Chart 安裝升級文檔。
| JH 版本 | 18.2.1 | 18.1.3 | 18.0.5 |
|---|---|---|---|
| Chart 版本 | 9.2.1 | 9.1.3 | 9.0.5 |
對於SaaS用户（jihulab.com），無需進行任何操作，我們已經升級SaaS以修復該漏洞。
極狐GitLab 技術支持
極狐GitLab 技術支持團隊對付費客户GitLab（基礎版/專業版）提供全面的技術支持，您可以通過https://support.gitlab.cn/#/portal/myticket 將問題提交。
如果您是免費用户，可以在極狐GitLab 論壇發帖或查看 GitLab 升級指南！。
