CVSS: 5.3EPSS: 0%CPEs: 6EXPL: 0CVE-2020-26406
https://notcve.org/view.php?id=CVE-2020-26406
17 Nov 2020 — Certain SAST CiConfiguration information could be viewed by unauthorized users in GitLab EE starting with 13.3. This information was exposed through GraphQL to non-members of public projects with repository visibility restricted as well as guest members on private projects. Affected versions are: >=13.3, <13.3.9,>=13.4, <13.4.5,>=13.5, <13.5.2. Determinada información de SAST CiConfiguration podría ser visualizada por usuarios no autorizados en GitLab EE a partir de la versión 13.3. Esta información fue exp... • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-26406.json •
CVSS: 4.9EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13341
https://notcve.org/view.php?id=CVE-2020-13341
12 Oct 2020 — An issue has been discovered in GitLab affecting all versions prior to 13.2.10, 13.3.7 and 13.4.2. Insufficient permission check allows attacker with developer role to perform various deletions. Se ha detectado un problema en GitLab afectando a todas las versiones anteriores a 13.2.10, 13.3.7 y 13.4.2. Una comprobación insuficiente de permisos permite a un atacante con rol de desarrollador llevar a cabo varias eliminaciones • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13341.json • CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13339
https://notcve.org/view.php?id=CVE-2020-13339
08 Oct 2020 — An issue has been discovered in GitLab affecting all versions before 13.2.10, 13.3.7 and 13.4.2: XSS in SVG File Preview. Overall impact is limited due to the current user only being impacted. Se ha detectado un problema en GitLab afectando a todas las versiones anteriores a 13.2.10, 13.3.7 y 13.4.2: Una vulnerabilidad de tipo XSS en SVG File Preview. El impacto general es limitado debido a que solo el usuario actual esta siendo impactado • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13339.json • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.7EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13340
https://notcve.org/view.php?id=CVE-2020-13340
08 Oct 2020 — An issue has been discovered in GitLab affecting all versions prior to 13.2.10, 13.3.7 and 13.4.2: Stored XSS in CI Job Log Se ha detectado un problema en GitLab afectando a todas las versiones anteriores a 13.2.10, 13.3.7 y 13.4.2: Una vulnerabilidad de tipo XSS almacenado en CI Job Log • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13340.json • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.7EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13344
https://notcve.org/view.php?id=CVE-2020-13344
08 Oct 2020 — An issue has been discovered in GitLab affecting all versions prior to 13.2.10, 13.3.7 and 13.4.2. Sessions keys are stored in plain-text in Redis which allows attacker with Redis access to authenticate as any user that has a session stored in Redis Se ha detectado un problema en GitLab afectando a todas las versiones anteriores a 13.2.10, 13.3.7 y 13.4.2. Las claves de las sesiones son almacenadas en texto plano en Redis, lo que permite al atacante con acceso a Redis autenticarse como cualquier usuari... • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13344.json • CWE-522: Insufficiently Protected Credentials •
CVSS: 4.0EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13342
https://notcve.org/view.php?id=CVE-2020-13342
07 Oct 2020 — An issue has been discovered in GitLab affecting versions prior to 13.2.10, 13.3.7 and 13.4.2: Lack of Rate Limiting at Re-Sending Confirmation Email Se ha detectado un problema en GitLab que afecta a las versiones anteriores a 13.2.10, 13.3.7 y 13.4.2: Una Falta de Límitación de Velocidad en el Reenvío del Email de Confirmación • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13342.json • CWE-770: Allocation of Resources Without Limits or Throttling •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13346
https://notcve.org/view.php?id=CVE-2020-13346
07 Oct 2020 — Membership changes are not reflected in ToDo subscriptions in GitLab versions prior to 13.2.10, 13.3.7 and 13.4.2, allowing guest users to access confidential issues through API. Unos cambios de membresía no están reflejados en las suscripciones ToDo en GitLab versiones anteriores a 13.2.10, 13.3.7 y 13.4.2, permitiendo a usuarios invitados acceder a problemas confidenciales por medio de la API • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13346.json • CWE-459: Incomplete Cleanup •
CVSS: 7.5EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13334
https://notcve.org/view.php?id=CVE-2020-13334
07 Oct 2020 — In GitLab versions prior to 13.2.10, 13.3.7 and 13.4.2, improper authorization checks allow a non-member of a project/group to change the confidentiality attribute of issue via mutation GraphQL query En GitLab versiones anteriores a 13.2.10, 13.3.7 y 13.4.2, unas comprobaciones inapropiadas de autorización permiten a un no miembro de un proyecto y de un grupo cambiar el atributo de confidencialidad del problema por medio de una consulta GraphQL de mutación • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13334.json • CWE-863: Incorrect Authorization •
CVSS: 9.1EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13347
https://notcve.org/view.php?id=CVE-2020-13347
07 Oct 2020 — A command injection vulnerability was discovered in Gitlab runner versions prior to 13.2.4, 13.3.2 and 13.4.1. When the runner is configured on a Windows system with a docker executor, which allows the attacker to run arbitrary commands on Windows host, via DOCKER_AUTH_CONFIG build variable. Se detectó una vulnerabilidad de inyección de comandos en el ejecutor de Gitlab versiones anteriores a 13.2.4, 13.3.2 y 13.4.1. Cuando el ejecutor está configurado en un sistema Windows con un ejecutor docker, perm... • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13347.json • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13335
https://notcve.org/view.php?id=CVE-2020-13335
07 Oct 2020 — Improper group membership validation when deleting a user account in GitLab >=7.12 allows a user to delete own account without deleting/transferring their group. Una comprobación inapropiada de la membresía de un grupo al eliminar una cuenta de usuario en GitLab versiones posteriores e incluyendo a 7.12, permite a un usuario eliminar su propia cuenta sin eliminar y transferir su grupo • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13335.json • CWE-863: Incorrect Authorization •