CVSS: 6.2EPSS: 0%CPEs: 6EXPL: 0CVE-2022-2417
https://notcve.org/view.php?id=CVE-2022-2417
Insufficient validation in GitLab CE/EE affecting all versions from 12.10 prior to 15.0.5, 15.1 prior to 15.1.4, and 15.2 prior to 15.2.1 allows an authenticated and authorised user to import a project that includes branch names which are 40 hexadecimal characters, which could be abused in supply chain attacks where a victim pinned to a specific Git commit of the project. Una comprobación insuficiente en GitLab CE/EE afectando a todas las versiones a partir de 12.10 anteriores a 15.0.5, la 15.1 anteriores a 15.1.4 y la 15.2 anteriores a 15.2.1 permite a un usuario autenticado y autorizado importar un proyecto que incluya nombres de rama que tengan 40 caracteres hexadecimales, lo que podría ser objeto de abuso en ataques a una cadena de suministro en los que una víctima es fijado en un commit Git específico del proyecto • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2417.json https://gitlab.com/gitlab-org/gitlab/-/issues/361179 • CWE-20: Improper Input Validation •
CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 0CVE-2022-2499
https://notcve.org/view.php?id=CVE-2022-2499
An issue has been discovered in GitLab EE affecting all versions starting from 13.10 before 15.0.5, all versions starting from 15.1 before 15.1.4, all versions starting from 15.2 before 15.2.1. GitLab's Jira integration has an insecure direct object reference vulnerability that may be exploited by an attacker to leak Jira issues. Se ha detectado un problema en GitLab EE afectando a todas las versiones a partir de 13.10 anteriores a 15.0.5, a todas las versiones a partir de 15.1 anteriores a 15.1.4, a todas las versiones a partir de 15.2 anteriores a 15.2.1. La integración con Jira de GitLab presenta una vulnerabilidad de referencia directa a objetos insegura que puede ser aprovechada por un atacante para filtrar las incidencias de Jira • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2499.json https://gitlab.com/gitlab-org/gitlab/-/issues/360800 https://hackerone.com/reports/1538068 • CWE-639: Authorization Bypass Through User-Controlled Key •
CVSS: 8.5EPSS: 0%CPEs: 6EXPL: 0CVE-2022-2497
https://notcve.org/view.php?id=CVE-2022-2497
An issue has been discovered in GitLab CE/EE affecting all versions starting from 12.6 before 15.0.5, all versions starting from 15.1 before 15.1.4, all versions starting from 15.2 before 15.2.1. A malicious developer could exfiltrate an integration's access token by modifying the integration URL such that authenticated requests are sent to an attacker controlled server. Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 12.6 antes de la 15.0.5, todas las versiones a partir de la 15.1 antes de la 15.1.4, todas las versiones a partir de la 15.2 antes de la 15.2.1. Un desarrollador malintencionado podría exfiltrar el token de acceso de una integración modificando la URL de la integración de forma que las peticiones autenticadas se envíen a un servidor controlado por el atacante • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2497.json https://gitlab.com/gitlab-org/gitlab/-/issues/362671 https://hackerone.com/reports/1557992 •
CVSS: 5.3EPSS: 0%CPEs: 3EXPL: 0CVE-2022-2531
https://notcve.org/view.php?id=CVE-2022-2531
An issue has been discovered in GitLab EE affecting all versions starting from 12.5 before 15.0.5, all versions starting from 15.1 before 15.1.4, all versions starting from 15.2 before 15.2.1. GitLab was not performing correct authentication on Grafana API under specific conditions allowing unauthenticated users to perform queries through a path traversal vulnerability. Se ha detectado un problema en GitLab EE afectando a todas las versiones a partir de 12.5 anteriores a 15.0.5, todas las versiones a partir de 15.1 anteriores a 15.1.4, todas las versiones a partir de 15.2 anteriores a 15.2.1. GitLab no estaba llevando a cabo una autenticación correcta en la API de Grafana bajo condiciones específicas que permitían a usuarios no autenticados llevar a cabo consultas mediante una vulnerabilidad de salto de ruta • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2531.json https://gitlab.com/gitlab-org/gitlab/-/issues/364252 https://hackerone.com/reports/1566306 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 6.1EPSS: 0%CPEs: 6EXPL: 1CVE-2022-0167
https://notcve.org/view.php?id=CVE-2022-0167
An issue has been discovered in GitLab affecting all versions starting from 14.0 before 14.4.5, all versions starting from 14.5.0 before 14.5.3, all versions starting from 14.6.0 before 14.6.2. GitLab was not disabling the Autocomplete attribute of fields related to sensitive information making it possible to be retrieved under certain conditions. Se ha detectado un problema en GitLab afectando a todas las versiones a partir de la 14.0 anteriores a 14.4.5, todas las versiones a partir de la 14.5.0 anteriores a 14.5.3, todas las versiones a partir de la 14.6.0 anteriores a 14.6.2. GitLab no deshabilitaba el atributo Autocompletar de los campos relacionados con información confidencial, haciendo posible su recuperación en determinadas condiciones • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-0167.json https://gitlab.com/gitlab-org/gitlab/-/issues/339146 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •