Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je za určitých okolností umožněno spustit pipeline jako jiný uživatel [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=15.8.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
• GiLab Enterprise Edition; >=15.8.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Více informací:

• CVE-2024-6385 na cve.org, NVD

Zranitelnost byla veřejně oznámena 10. 7. 2024.

Autentizovanému vzdálenému útočníkovi s oprávněním admin_compliance_framework je umožněno upravit adresu URL pro obor názvů skupiny [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
• GiLab Enterprise Edition; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N

Více informací:

• CVE-2024-5257 na cve.org, NVD

Zranitelnost byla veřejně oznámena 10. 7. 2024.

Autentizovanému vzdálenému útočníkovi s oprávněním admin_push_rules je umožněno vytvářet deploy tokeny na úrovni projektu [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
• GitLab Enterprise Edition; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N

Více informací:

• CVE-2024-5470 na cve.org, NVD

Zranitelnost byla veřejně oznámena 10. 7. 2024.

Autentizovanému vzdálenému útočníkovi je umožněno nahrát NPM balíček s "konfliktními" daty [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=11.8.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
• GitLab Enterprise Edition; >=11.8.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:N

Více informací:

• CVE-2024-6595 na cve.org, NVD

Zranitelnost byla veřejně oznámena 10. 7. 2024.

Autentizovanému vzdálenému útočníkovi s oprávněním admin_group_member je umožněno zablokovat členy skupiny [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=16.5.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
• GitLab Enterprise Edition; >=16.5.0, <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Více informací:

• CVE-2024-2880 na cve.org, NVD

Zranitelnost byla veřejně oznámena 10. 7. 2024.

Autentizovanému vzdálenému útočníkovi je umožněno převzetí subdomény v aplikaci GitLab Pages [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2
• GitLab Enterprise Edition; <16.11.6; >=17.0.0, <17.0.4; >=17.1.0, <17.1.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Více informací:

• CVE-2024-5528 na cve.org, NVD

Zranitelnost byla veřejně oznámena 10. 7. 2024.