Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je v určitej konfigurácii GitLab CE/EE umožnené neoprávnene pristupovať do Kubernetes agenta v klastri [1][2].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=16, <17.3.7; >=7.4, <17.4.4; >=17.5, <17.5.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2024-9693 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je umožnené pomocou Device OAuth flow komponenty získať prístup k API s právami obete útoku [1][3].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=17.2, <17.3.7; >=7.4, <17.4.4; >=17.5, <17.5.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-7404 na cve.org, NVD
• CWE-1021: Improper Restriction of Rendered UI Layers or Frames na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 11. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok importovaním špeciálne vytvoreného súboru pomocou komponenty Fogbugz [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=7.4.1, <17.3.7; >=7.4, <17.4.4; >=17.5, <17.5.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CWE-703: Improper Check or Handling of Exceptional Conditions na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je umožnené vykonať XSS útok pomocou časti webu s analytickými nástenkami [1][4].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=16, <17.3.7; >=7.4, <17.4.4; >=17.5, <17.5.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-8648 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 11. 2024.