Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok umožnené obísť ochranu Device OAuth a získať neoprávnený prístup k údajom a funkciám určeným pre iného používateľa.[1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=17.3, <17.9.8; >=17.10, <17.10.6; >=17.11, <17.11.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2025-0549 na cve.org, NVD
• CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.

Autentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok zasielaním špeciálne vytvorených požiadaviek na import [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=17.1, <17.9.8; >=17.10, <17.10.6; >=17.11, <17.11.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-8973 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.

Neautentizovanému vzdialenému útočníkovi je umožnené obísť reštrikcie IP adries a získať tak prístup k potenciálne citlivým informáciám [1].

Zraniteľnosť sa nachádza v produkte:

• GitLab; >=12.0, <17.9.8; >=17.10, <17.10.6; >=17.11, <17.11.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2025-1278 na cve.org, NVD
• CWE-1220: Insufficient Granularity of Access Control na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 5. 2025.