CVSS: 7.5EPSS: 0%CPEs: 3EXPL: 0CVE-2022-4167
https://notcve.org/view.php?id=CVE-2022-4167
Incorrect Authorization check affecting all versions of GitLab EE from 13.11 prior to 15.5.7, 15.6 prior to 15.6.4, and 15.7 prior to 15.7.2 allows group access tokens to continue working even after the group owner loses the ability to revoke them. La verificación de autorización incorrecta que afecta a todas las versiones de GitLab EE desde la 13.11 anterior a la 15.5.7, la 15.6 anterior a la 15.6.4 y la 15.7 anterior a la 15.7.2 permite que los tokens de acceso al grupo sigan funcionando incluso después de que el propietario del grupo pierda la capacidad de revocarlos. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-4167.json https://gitlab.com/gitlab-org/gitlab/-/issues/367740 • CWE-863: Incorrect Authorization •
CVSS: 5.3EPSS: 0%CPEs: 6EXPL: 0CVE-2022-3870
https://notcve.org/view.php?id=CVE-2022-3870
An issue has been discovered in GitLab CE/EE affecting all versions starting from 10.0 before 15.5.7, all versions starting from 15.6 before 15.6.4, all versions starting from 15.7 before 15.7.2. GitLab allows unauthenticated users to download user avatars using the victim's user ID, on private instances that restrict public level visibility. Se descubrió un problema en GitLab CE/EE que afecta a todas las versiones desde 10.0 anteriores a 15.5.7, todas las versiones desde 15.6 anteriores a 15.6.4, todas las versiones desde 15.7 anteriores a 15.7.2. GitLab permite a los usuarios no autenticados descargar avatares de usuario utilizando la identificación de usuario de la víctima, en instancias privadas que restringen la visibilidad a nivel público. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-3870.json https://gitlab.com/gitlab-org/gitlab/-/issues/381647 https://hackerone.com/reports/1753423 •