CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39903
https://notcve.org/view.php?id=CVE-2021-39903
In all versions of GitLab CE/EE since version 13.0, a privileged user, through an API call, can change the visibility level of a group or a project to a restricted option even after the instance administrator sets that visibility option as restricted in settings. En todas las versiones de GitLab CE/EE desde versión 13.0, un usuario con privilegios, mediante una llamada a la API, puede cambiar el nivel de visibilidad de un grupo o un proyecto a una opción restringida incluso después de que el administrador de la instancia establezca esa opción de visibilidad como restringida en la configuración • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39903.json https://gitlab.com/gitlab-org/gitlab/-/issues/300017 https://hackerone.com/reports/1086781 •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39902
https://notcve.org/view.php?id=CVE-2021-39902
Incorrect Authorization in GitLab CE/EE 13.4 or above allows a user with guest membership in a project to modify the severity of an incident. Una autorización incorrecta en GitLab CE/EE versión 13.4 o superior permite a un usuario con membresía de invitado en un proyecto modificar la gravedad de un incidente • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39902.json https://gitlab.com/gitlab-org/gitlab/-/issues/341479 https://hackerone.com/reports/1341674 • CWE-863: Incorrect Authorization •
CVSS: 5.0EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39914
https://notcve.org/view.php?id=CVE-2021-39914
A regular expression denial of service issue in GitLab versions 8.13 to 14.2.5, 14.3.0 to 14.3.3 and 14.4.0 could cause excessive usage of resources when a specially crafted username was used when provisioning a new user Un problema de denegación de servicio con expresiones regulares en GitLab versiones 8.13 a 14.2.5, 14.3.0 a 14.3.3 y 14.4.0, podía causar un uso excesivo de recursos cuando se usaba un nombre de usuario especialmente diseñado al aprovisionar un nuevo usuario • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39914.json https://gitlab.com/gitlab-org/gitlab/-/issues/289948 • CWE-400: Uncontrolled Resource Consumption •
CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 0CVE-2021-39889
https://notcve.org/view.php?id=CVE-2021-39889
In all versions of GitLab EE since version 14.1, due to an insecure direct object reference vulnerability, an endpoint may reveal the protected branch name to a malicious user who makes a crafted API call with the ID of the protected branch. En todas las versiones de GitLab EE desde la versión 14.1, debido a una vulnerabilidad de referencia directa a objetos insegura, un endpoint puede revelar el nombre de la rama protegida a un usuario malintencionado que realice una llamada a la API diseñada con el ID de la rama protegida • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39889.json https://gitlab.com/gitlab-org/gitlab/-/issues/338062 https://hackerone.com/reports/1294017 • CWE-639: Authorization Bypass Through User-Controlled Key •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39870
https://notcve.org/view.php?id=CVE-2021-39870
In all versions of GitLab CE/EE since version 11.11, an instance that has the setting to disable Repo by URL import enabled is bypassed by an attacker making a crafted API call. En todas las versiones de GitLab CE/EE a partir de la versión 11.11, un atacante que realice una llamada a la API diseñada puede omitir una instancia que tenga habilitada la opción de desactivar la importación de repositorios por URL • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39870.json https://gitlab.com/gitlab-org/gitlab/-/issues/29748 https://hackerone.com/reports/630263 •