GitLab 为社区版和企业版发布了 10.3.4, 10.2.6 和 10.1.6 这三个版本的更新。官方表示，这些版本包含许多重要的安全修复程序，包含对远程代码执行漏洞的修复，强烈建议所有 GitLab 用户都立即升级到其中一个版本。 下面简单介绍下其中三个漏洞。 GitLab 项目导入中的远程代码执行漏洞 GitLab 项目导入组件包含一个漏洞，该漏洞允许攻击者将文件写入服务器上的任意目录，并可能导致远程执行代码。此漏洞现已有所缓解，并标记为 CVE-2017-0915 和 CVE-2018-3710。 受影响的版本 GitLab CE and EE 8.9.0 - 9.5.10 GitLab CE and EE 10.0.0 - 10.1.5 GitLab CE and EE 10.2.0 - 10.2.5 GitLab CE and EE 10.3.0 - 10.3.3 GitLab CI Runner 可读取所有其他项目的缓存 在 CI runner 中发现了一个路径遍历漏洞，该漏洞允许恶意用户读取其他项目缓存。此问题现已被修复，并标记为 CVE-2017-0918。 受影响的版本 GitLab CE and EE 8.4.0 - 9.5.10 GitLab CE and EE 10.0.0 - 10.1.5 GitLab CE and EE 10.2.0 - 10.2.5 GitLab CE and EE 10.3.0 - 10.3.3 Jupyter Notebook XSS 具有 Jupyter Notebooks 的项目可以执行外部 JavaScript。这个 XSS 漏洞是由 Jupyter Notebooks 中的无标签输出引起的。输出现在在渲染之前已经过正确的审查。此问题被标记为 CVE-2017-0923。 受影响版本 GitLab CE and EE 8.4.0 - 9.5.10 GitLab CE and EE 10.0.0 - 10.1.5 GitLab CE and EE 10.2.0 - 10.2.5 GitLab CE and EE 10.3.0 - 10.3.3 还有许多其他漏洞的修复，详情请点此查看。 GitLab 发布安全更新版本：10.3.4, 10.2.6 和 10.1.6下载地址
