Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je v určité konfiguraci GitLab CE/EE umožněno neoprávněně přistupovat do Kubernetes agenta v klastru [1][2].

Zranitelnost se nachází v produktu:

• GitLab; >=16, <17.3.7; >=7.4, <17.4.4; >=17.5, <17.5.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2024-9693 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 11. 2024.

Neautentizovanému vzdálenému útočníkovi je umožněno získat pomocí komponenty Device OAuth flow přístup k API s právy oběti útoku [1][3].

Zranitelnost se nachází v produktu:

• GitLab; >=17.2, <17.3.7; >=7.4, <17.4.4; >=17.5, <17.5.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

Více informací:

• CVE-2024-7404 na cve.org, NVD
• CWE-1021: Improper Restriction of Rendered UI Layers or Frames na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 11. 2024.

Autentizovanému vzdálenému útočníkovi je umožněno provést DoS útok importováním speciálně vytvořeného souboru pomocí komponenty Fogbugz [1].

Zranitelnost se nachází v produktu:

• GitLab; >=7.4.1, <17.3.7; >=7.4, <17.4.4; >=17.5, <17.5.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CWE-703: Improper Check or Handling of Exceptional Conditions na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 11. 2024.

Neautentizovanému vzdálenému útočníkovi je umožněno provést XSS útok pomocí části webu s analytickými nástěnkami [1][4].

Zranitelnost se nachází v produktu:

• GitLab; >=16, <17.3.7; >=7.4, <17.4.4; >=17.5, <17.5.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Více informací:

• CVE-2024-8648 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 11. 2024.