Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství a specificky vytvořené URL adresy umožněno exfiltrovat data relace oběti a potenciálně převzít její účet [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=16.1, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=16.1, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Více informací:

• CVE-2024-11274 na cve.org, NVD
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 12. 2024.

Neautentizovanému vzdálenému útočníkovi je pomocí opakovaného zasílání požadavků na zobrazení rozdílů mezi verzemi souborů (diff-files) umožněno vykonat DoS útok [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=9.4, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=9.4, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2024-8233 na cve.org, NVD
• CWE-407: Inefficient Algorithmic Complexity na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 12. 2024.

Autentizovanému vzdálenému útočníkovi je po získání tokenu CI_JOB_TOKEN oběti pomocí sociálního inženýrství umožněno získat i její GitLab relaci [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=13.7, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=13.7, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L

Více informací:

• CVE-2024-12570 na cve.org, NVD
• CWE-270: Privilege Context Switching Error na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 12. 2024.

Autentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství a specificky vytvořené URL adresy umožněno přesměrovat oběť na potenciálně škodlivou stránku [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=11.8, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=11.8, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N

Více informací:

• CVE-2024-9387 na cve.org, NVD
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 12. 2024.

Autentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno získat CSRF token oběti. Zranitelnost je zneužitelná pouze v self-hosted systémech s povolenou integrací GitLab a Harbor [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=15.2, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=15.2, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Více informací:

• CVE-2024-8647 na cve.org, NVD
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 12. 2024.

Autentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno provést XSS útok. Zranitelnost je zneužitelná pouze v systémech s neaktivní Content Security Policy (CSP) [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=17.3, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;
• GitLab Enterprise Edition; >=17.3, <17.4.6; >=17.5, <17.5.4; >=17.6, <17.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Více informací:

• CVE-2024-8179 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 12. 2024.