Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi s přístupem k osobnímu přístupovému tokenu (PAT) oběti je umožněno zvýšit svá oprávnění [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=8.12, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=8.12, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N

Více informací:

• CVE-2024-8114 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 11. 2024.

Autentizovanému vzdálenému útočníkovi je pomocí škodlivého souboru cargo.toml umožněno vykonat DoS útok [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=12.6, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=12.6, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2024-8237 na cve.org, NVD
• CWE-407: Inefficient Algorithmic Complexity na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 11. 2024.

Autentizovanému vzdálenému útočníkovi je umožněn přístup k citlivým údajům kvůli příliš širokému použití rozsahu tokenu [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=16.9.8, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=16.9.8, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Více informací:

• CVE-2024-11669 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 11. 2024.

Autentizovanému vzdálenému útočníkovi je prostřednictvím integrace škodlivého harbor registru umožněno vykonat DoS útok [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=15.6, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=15.6, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2024-8177 na cve.org, NVD
• CWE-407: Inefficient Algorithmic Complexity na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 11. 2024.

Autentizovanému vzdálenému útočníkovi je odesláním podvržených volání API umožněno vyvolat stav DoS [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=13.2.4, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=13.2.4, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Více informací:

• CVE-2024-11828 na cve.org, NVD
• CWE-407: Inefficient Algorithmic Complexity na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 11. 2024.

Autentizovanému vzdálenému útočníkovi je umožněno obejít kontroly ověřování a neoprávněně přistoupit k výsledkům streamování [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=16.11, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=16.11, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

Více informací:

• CVE-2024-11668 na cve.org, NVD
• CWE-613: Insufficient Session Expiration na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 11. 2024.