文/陳曉莉|2026-06-12發表
GitLab周三（6/10）發布安全更新，釋出GitLab社群版（GitLab Community Edition，CE）與企業版（GitLab Enterprise Edition，EE）的19.0.2、18.11.5及18.10.8，以修補12個安全漏洞，其中最嚴重的兩項漏洞CVSS風險評分皆達8.7分，可能導致帳號遭接管或在受害者瀏覽器中執行惡意程式碼。
GitLab為一開源DevSecOps平臺，提供程式碼代管、CI/CD、安全掃描與專案管理等功能，分為社群版CE與企業版EE。GitLab採固定安全更新機制，通常於每月發布一次安全修補更新，並同步為多個受支援版本分支提供修補程式。
此次修補的安全漏洞中，有兩個CVSS風險評分都高達8.7分。首先是與Group SAML有關的CVE-2026-6552，Group SAML是GitLab EE提供的企業身分驗證功能，可讓企業透過安全聲明標記語言（Security Assertion Markup Language，SAML）單一登入機制，來管理GitLab群組成員身分。
在特定條件下，擁有Group Owner權限的已驗證使用者，可濫用Group SAML Identity API的權限控管缺陷，竄改群組成員的SAML身分對應關係，進而接管對方的GitLab帳號。
另一項8.7分的高風險漏洞為CVE-2026-10087，影響GitLab EE的Analytics Dashboard功能。具Developer權限的已驗證使用者，可利用該跨網站指令碼（XSS）漏洞，在受害者瀏覽器中執行任意JavaScript程式碼。
其它兩個被列為高風險漏洞的分別是可導致服務中斷CVE-2026-7250，以及可發送未經授權電子郵件的HTML Injection漏洞CVE-2026-8589，它們的CVSS風險評分分別為7.5與7.3分。此次修補的12個漏洞中，有4個被列為高風險，皆影響GitLab EE，其中CVE-2026-7250也波及GitLab CE。
線