CVSS: 7.5EPSS: 0%CPEs: 6EXPL: 1CVE-2022-4205
https://notcve.org/view.php?id=CVE-2022-4205
In Gitlab EE/CE before 15.6.1, 15.5.5 and 15.4.6 using a branch with a hexadecimal name could override an existing hash. En Gitlab EE/CE anterior a 15.6.1, 15.5.5 y 15.4.6, el uso de una rama con un nombre hexadecimal podía anular un hash existente. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-4205.json https://gitlab.com/gitlab-org/gitlab/-/issues/374082 • CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 1CVE-2022-3478
https://notcve.org/view.php?id=CVE-2022-3478
An issue has been discovered in GitLab affecting all versions starting from 12.8 before 15.4.6, all versions starting from 15.5 before 15.5.5, all versions starting from 15.6 before 15.6.1. It was possible to trigger a DoS attack by uploading a malicious nuget package. Se ha descubierto un problema en GitLab que afecta a todas las versiones desde 12.8 anteriores a 15.4.6, todas las versiones desde 15.5 anteriores a 15.5.5, todas las versiones desde 15.6 anteriores a 15.6.1. Era posible desencadenar un ataque DoS cargando un paquete nuget malicioso. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-3478.json https://gitlab.com/gitlab-org/gitlab/-/issues/377788 https://hackerone.com/reports/1716296 • CWE-434: Unrestricted Upload of File with Dangerous Type •
CVSS: 5.5EPSS: 0%CPEs: 6EXPL: 1CVE-2022-4054
https://notcve.org/view.php?id=CVE-2022-4054
An issue has been discovered in GitLab affecting all versions starting from 9.3 before 15.4.6, all versions starting from 15.5 before 15.5.5, all versions starting from 15.6 before 15.6.1. It was possible for a project maintainer to leak a webhook secret token by changing the webhook URL to an endpoint that allows them to capture request headers. Se ha descubierto un problema en GitLab en el que se ven afectadas todas las versiones de la 9.3 a la 15.4.6, de la 15.5 a la 15.5.5 y de la 15.6 a la 15.6.1. Era posible que un mantenedor de proyecto filtrara un token secreto de webhook cambiando la URL del webhook a un endpoint que les permitiera capturar encabezados de peticiones. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-4054.json https://gitlab.com/gitlab-org/gitlab/-/issues/382260 https://hackerone.com/reports/1758126 •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 1CVE-2022-3820
https://notcve.org/view.php?id=CVE-2022-3820
An issue has been discovered in GitLab affecting all versions starting from 15.4 prior to 15.4.4, and 15.5 prior to 15.5.2. GitLab was not performing correct authentication with some Package Registries when IP address restrictions were configured, allowing an attacker already in possession of a valid Deploy Token to misuse it from any location. Se descubrió un problema en GitLab que afecta a todas las versiones desde la 15.4 anterior a la 15.4.4 y la 15.5 anterior a la 15.5.2. GitLab no estaba realizando la autenticación correcta con algunos registros de paquetes cuando se configuraron las restricciones de dirección IP, lo que permitió que un atacante que ya estuviera en posesión de un token de implementación válido lo usara indebidamente desde cualquier ubicación. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-3820.json https://gitlab.com/gitlab-org/gitlab/-/issues/378638 •
CVSS: 9.3EPSS: 0%CPEs: 6EXPL: 1CVE-2022-3572
https://notcve.org/view.php?id=CVE-2022-3572
A cross-site scripting issue has been discovered in GitLab CE/EE affecting all versions from 13.5 prior to 15.3.5, 15.4 prior to 15.4.4, and 15.5 prior to 15.5.2. It was possible to exploit a vulnerability in setting the Jira Connect integration which could lead to a reflected XSS that allowed attackers to perform arbitrary actions on behalf of victims. Se descubrió un problema de cross site scripting en GitLab CE/EE que afecta a todas las versiones desde 13.5 anterior a 15.3.5, 15.4 anterior a 15.4.4 y 15.5 anterior a 15.5.2. Fue posible explotar una vulnerabilidad al configurar la integración de Jira Connect, lo que podría conducir a un XSS reflejado que permitiera a los atacantes realizar acciones arbitrarias en nombre de las víctimas. • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-3572.json https://gitlab.com/gitlab-org/gitlab/-/issues/378214 https://hackerone.com/reports/1727985 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •