Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi s prístupom k osobnému prístupovému tokenu (PAT) obete je umožnené zvýšiť svoje oprávnenia [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=8.12, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=8.12, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N

Viac informácií:

• CVE-2024-8114 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

Autentizovanému vzdialenému útočníkovi je pomocou škodlivého súboru cargo.toml umožnené vykonať DoS útok [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=12.6, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=12.6, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-8237 na cve.org, NVD
• CWE-407: Inefficient Algorithmic Complexity na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

Autentizovanému vzdialenému útočníkovi je umožnený prístup k citlivým údajom z dôvodu príliš širokého použitia rozsahu tokenu [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=16.9.8, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=16.9.8, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-11669 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

Autentizovanému vzdialenému útočníkovi je prostredníctvom integrácie škodlivého harbor registra umožnené vykonať DoS útok [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=15.6, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=15.6, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-8177 na cve.org, NVD
• CWE-407: Inefficient Algorithmic Complexity na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

Autentizovanému vzdialenému útočníkovi je odoslaním sfalšovaných volaní API umožnené vyvolať stav DoS [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=13.2.4, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=13.2.4, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Viac informácií:

• CVE-2024-11828 na cve.org, NVD
• CWE-407: Inefficient Algorithmic Complexity na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.

Autentizovanému vzdialenému útočníkovi je umožnené obísť kontroly overovania a neoprávnene pristúpiť k výsledkom streamovania [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=16.11, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1
• GitLab Enterprise Edition; >=16.11, <17.4.5; >=17.5, <17.5.3; >=17.6, <17.6.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

Viac informácií:

• CVE-2024-11668 na cve.org, NVD
• CWE-613: Insufficient Session Expiration na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 11. 2024.