CVSS: 7.3EPSS: 0%CPEs: 6EXPL: 0CVE-2022-2904
https://notcve.org/view.php?id=CVE-2022-2904
A cross-site scripting issue has been discovered in GitLab CE/EE affecting all versions starting from 15.2 before 15.2.5, all versions starting from 15.3 before 15.3.4, all versions starting from 15.4 before 15.4.1 It was possible to exploit a vulnerability in the external status checks feature which could lead to a stored XSS that allowed attackers to perform arbitrary actions on behalf of victims at client side. Se descubrió un problema de Cross-Site Scripting (XSS) en GitLab CE/EE que afecta a todas las versiones desde 15.2 anteriores a 15.2.5, todas las versiones desde 15.3 anteriores a 15.3.4, todas las versiones desde 15.4 anteriores a 15.4.1. Fue posible explotar una vulnerabilidad en la función de verificación de estado externa que podría conducir a un XSS almacenado que permitiera a los atacantes realizar acciones arbitrarias en nombre de las víctimas en el lado del cliente. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2904.json https://gitlab.com/gitlab-org/gitlab/-/issues/367408 https://hackerone.com/reports/1628009 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.5EPSS: 0%CPEs: 6EXPL: 0CVE-2022-2882
https://notcve.org/view.php?id=CVE-2022-2882
An issue has been discovered in GitLab CE/EE affecting all versions starting from 12.6 before 15.2.5, all versions starting from 15.3 before 15.3.4, all versions starting from 15.4 before 15.4.1. A malicious maintainer could exfiltrate a GitHub integration's access token by modifying the integration URL such that authenticated requests are sent to an attacker controlled server. Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones desde 12.6 anteriores a 15.2.5, todas las versiones desde 15.3 anteriores a 15.3.4, todas las versiones desde 15.4 anteriores a 15.4.1. Un mantenedor malicioso podría filtrar el token de acceso de una integración de GitHub modificando la URL de la integración de modo que las solicitudes autenticadas se envíen a un servidor controlado por el atacante. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2882.json https://gitlab.com/gitlab-org/gitlab/-/issues/371082 https://hackerone.com/reports/1656722 • CWE-668: Exposure of Resource to Wrong Sphere •
CVSS: 6.8EPSS: 0%CPEs: 6EXPL: 0CVE-2022-3018
https://notcve.org/view.php?id=CVE-2022-3018
An information disclosure vulnerability in GitLab CE/EE affecting all versions starting from 9.3 before 15.2.5, all versions starting from 15.3 before 15.3.4, all versions starting from 15.4 before 15.4.1 allows a project maintainer to access the DataDog integration API key from webhook logs. Una vulnerabilidad de divulgación de información en GitLab CE/EE que afecta a todas las versiones desde 9.3 anteriores a 15.2.5, todas las versiones desde 15.3 anteriores a 15.3.4, todas las versiones desde 15.4 anteriores a 15.4.1 permite que un mantenedor de proyecto acceda a la clave API de integración de DataDog de los registros de webhook. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-3018.json https://gitlab.com/gitlab-org/gitlab/-/issues/360938 • CWE-532: Insertion of Sensitive Information into Log File •
CVSS: 7.5EPSS: 0%CPEs: 3EXPL: 0CVE-2022-3639
https://notcve.org/view.php?id=CVE-2022-3639
A potential DOS vulnerability was discovered in GitLab CE/EE affecting all versions from 10.8 before 15.1.6, all versions starting from 15.2 before 15.2.4, all versions starting from 15.3 before 15.3.2. Improper data handling on branch creation could have been used to trigger high CPU usage. Se ha detectado una potencial vulnerabilidad de DOS en GitLab CE/EE que afecta a todas las versiones desde la 10.8 anteriores a 15.1.6, a todas las versiones desde la 15.2 anteriores a 15.2.4, a todas las versiones desde la 15.3 anteriores a 15.3.2. Un manejo inapropiado de los datos en la creación de la rama podría haber sido usado para desencadenar un alto uso de la CPU • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-3639.json https://gitlab.com/gitlab-org/gitlab/-/issues/366876 • CWE-400: Uncontrolled Resource Consumption •
CVSS: 8.0EPSS: 0%CPEs: 6EXPL: 0CVE-2022-2527
https://notcve.org/view.php?id=CVE-2022-2527
An issue in Incident Timelines has been discovered in GitLab CE/EE affecting all versions starting from 14.9 before 15.1.6, all versions starting from 15.2 before 15.2.4, all versions starting from 15.3 before 15.3.2.which allowed an authenticated attacker to inject arbitrary content. A victim interacting with this content could lead to arbitrary requests. Se ha detectado un problema en las líneas de tiempo de incidentes en GitLab CE/EE afectando a todas las versiones a partir de 14.9 anteriores a 15.1.6, a todas las versiones a partir de 15.2 anteriores a 15.2.4, a todas las versiones a partir de 15.3 anteriores a 15.3.2.que permitía a un atacante autenticado inyectar contenido arbitrario. Una víctima que interactuara con este contenido podría conllevar a peticiones arbitrarias • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2527.json https://gitlab.com/gitlab-org/gitlab/-/issues/368676 https://hackerone.com/reports/1647446 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •