CVSS: 5.3EPSS: 0%CPEs: 6EXPL: 0CVE-2022-1352
https://notcve.org/view.php?id=CVE-2022-1352
Due to an insecure direct object reference vulnerability in Gitlab EE/CE affecting all versions from 11.0 prior to 14.8.6, 14.9 prior to 14.9.4, and 14.10 prior to 14.10.1, an endpoint may reveal the issue title to a user who crafted an API call with the ID of the issue from a public project that restricts access to issue only to project members. Debido a una vulnerabilidad de referencia directa a objetos insegura en Gitlab EE/CE afectando a todas las versiones desde 11.0 anteriores a 14.8.6, 14.9 anteriores a 14.9.4 y 14.10 anteriores a 14.10.1, un endpoint puede revelar el título de la incidencia a un usuario que haya diseñado una llamada a la API con el ID de la incidencia desde un proyecto público que restringe el acceso a la incidencia sólo a miembros del proyecto • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-1352.json https://gitlab.com/gitlab-org/gitlab/-/issues/350691 https://hackerone.com/reports/1450306 • CWE-639: Authorization Bypass Through User-Controlled Key •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 0CVE-2022-1417
https://notcve.org/view.php?id=CVE-2022-1417
Improper access control in GitLab CE/EE affecting all versions starting from 8.12 before 14.8.6, all versions starting from 14.9 before 14.9.4, and all versions starting from 14.10 before 14.10.1 allows non-project members to access contents of Project Members-only Wikis via malicious CI jobs Un control de acceso inadecuado en GitLab CE/EE que afecta a todas las versiones a partir de la 8.12 antes de la 14.8.6, a todas las versiones a partir de la 14.9 antes de la 14.9.4, y a todas las versiones a partir de la 14.10 antes de la 14.10.1 permite que personas que no son miembros del proyecto accedan al contenido de los wikis exclusivos para miembros del proyecto a través de trabajos de CI maliciosos • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-1417.json https://gitlab.com/gitlab-org/gitlab/-/issues/297282 https://hackerone.com/reports/1075586 • CWE-863: Incorrect Authorization •
CVSS: 3.5EPSS: 0%CPEs: 6EXPL: 0CVE-2022-1157
https://notcve.org/view.php?id=CVE-2022-1157
Missing sanitization of logged exception messages in all versions prior to 14.7.7, 14.8 prior to 14.8.5, and 14.9 prior to 14.9.2 of GitLab CE/EE causes potential sensitive values in invalid URLs to be logged Una falta de saneo de los mensajes de excepción registrados en todas las versiones anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2 de GitLab CE/EE causa el registro de posibles valores confidenciales en URLs no válidas • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-1157.json https://gitlab.com/gitlab-org/gitlab/-/issues/37261 • CWE-532: Insertion of Sensitive Information into Log File •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 1CVE-2022-1193
https://notcve.org/view.php?id=CVE-2022-1193
Improper access control in GitLab CE/EE versions 10.7 prior to 14.7.7, 14.8 prior to 14.8.5, and 14.9 prior to 14.9.2 allows a malicious actor to obtain details of the latest commit in a private project via Merge Requests under certain circumstances Un control de acceso inadecuado en las versiones 10.7 anterior a 14.7.7, 14.8 anterior a 14.8.5 y 14.9 anterior a 14.9.2 de GitLab CE/EE permite a un actor malintencionado obtener detalles del último commit de un proyecto privado a través de Merge Requests en determinadas circunstancias • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-1193.json https://gitlab.com/gitlab-org/gitlab/-/issues/351823 https://hackerone.com/reports/1465994 • CWE-863: Incorrect Authorization •
CVSS: 8.7EPSS: 0%CPEs: 6EXPL: 0CVE-2022-1190
https://notcve.org/view.php?id=CVE-2022-1190
Improper handling of user input in GitLab CE/EE versions 8.3 prior to 14.7.7, 14.8 prior to 14.8.5, and 14.9 prior to 14.9.2 allowed an attacker to exploit a stored XSS by abusing multi-word milestone references in issue descriptions, comments, etc. Un manejo inapropiado de la entrada del usuario en GitLab CE/EE versiones 8.3 anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2, permitía a un atacante explotar un ataque de tipo XSS almacenado al abusar de las referencias de hitos de varias palabras en las descripciones de incidencias, comentarios, etc • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-1190.json https://gitlab.com/gitlab-org/gitlab/-/issues/352392 https://hackerone.com/reports/1455036 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •