Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE a EE opravují 8 zranitelností
GitLab verzemi 16.9.1, 16.8.3 a 16.7.6 opravuje 8 zranitelností v produktech GitLab Community Edition (CE) a Enterprise Edition (EE).
Autentizovanému vzdálenému útočníkovi je umožněno provést stored XSS útok [1].
Zranitelnost se nachází v produktu:
- GitLab;==0;==16.9.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2024-1451 na cve.org, NVD
- CWE-79 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 2. 2024.
Autentizovanému vzdálenému útočníkovi s oprávněním admin_group_member je umožněno provést eskalaci oprávnění [1].
Zranitelnost se nachází v produktu:
- GitLab; ==0; >=16.5.0, <16.7.6; >=16.8.0, <16.8.3; >=16.9.0, <16.9.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L
Více informací:
- CVE-2023-6477 na cve.org, NVD
- CWE-269 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 2. 2024.
Autentizovanému vzdálenému útočníkovi je umožněno obejít omezení a neoprávněně tak přistupovat k informacím [1].
Zranitelnost se nachází v produktu:
- GitLab; ==0; >=12.0.0, <16.7.6; >=16.8.0, < 16.8.3; >=16.9.0, <16.9.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2023-4895 na cve.org, NVD
- CWE-284 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 2. 2024.
Autentizovanému vzdálenému útočníkovi s oprávněním "sub-maintainer" je umožněno neoprávněně upravovat informace [1].
Zranitelnost se nachází v produktu:
- GitLab; >=0, <16.7.6; >=16.8.0, < 16.8.3; >=16.9.0, <16.9.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:N
Více informací:
- CVE-2023-3509 na cve.org, NVD
- CWE-285 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 2. 2024.
Autentizovanému vzdálenému útočníkovi je umožněno obejít pravidla "Code Owners" [1].
Zranitelnost se nachází v produktu:
- GitLab; ==0; >=15.1.0, <16.7.6; >=16.8.0, < 16.8.3; >=16.9.0, <16.9.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:N
Více informací:
- CVE-2024-0410 na cve.org, NVD
- CWE-284 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 2. 2024.
Autentizovanému vzdálenému útočníkovi je umožněno provést ReDoS útok [1].
Zranitelnost se nachází v produktu:
- GitLab; ==0; >=11.3.0, <16.7.6; >=16.8.0, < 16.8.3; >=16.9.0, <16.9.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2023-6736 na cve.org, NVD
- CWE-400 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 2. 2024.
Autentizovanému vzdálenému útočníkovi je za určitých okolností umožněno autentizovat se přímo obejitím LDAP autentizace [1].
Zranitelnost se nachází v produktu:
- GitLab; ==0; >=16.1.0, <16.7.2; >=16.8.0, < 16.8.2; >=16.9.0, <16.9.2
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N
Více informací:
- CVE-2024-1525 na cve.org, NVD
- CWE-284 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 2. 2024.
Autentizovanému vzdálenému útočníkovi je umožněno neoprávněně měnit nastavení [1].
Zranitelnost se nachází v produktu:
- GitLab; ==0; >=16.4.0, <16.7.6; >=16.8.0, < 16.8.3; >=16.9.0, <16.9.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Více informací:
- CVE-2024-0861 na cve.org, NVD
- CWE-285 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 21. 2. 2024.
Za CESNET, z.s.p.o. Martin Krajči dne 23. 2. 2024.