CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 0CVE-2020-13357
https://notcve.org/view.php?id=CVE-2020-13357
An issue was discovered in Gitlab CE/EE versions >= 13.1 to <13.4.7, >= 13.5 to <13.5.5, and >= 13.6 to <13.6.2 allowed an unauthorized user to access the user list corresponding to a feature flag in a project. Se detectó un problema en Gitlab CE/EE versiones posteriores a 13.1 incluyéndola hasta versiones anteriores a 13.4.7, versiones posteriores a 13.5 incluyéndola hasta versiones anteriores a 13.5.5 y versiones posteriores 13.6 incluyéndola hasta versiones anteriores a 13.6.2, permitieron a un usuario no autorizado acceder a la lista de usuarios correspondiente a un flag feature en un proyecto • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-13357.json https://gitlab.com/gitlab-org/gitlab/-/issues/241132 https://hackerone.com/reports/962408 • CWE-639: Authorization Bypass Through User-Controlled Key •
CVSS: 5.3EPSS: 0%CPEs: 6EXPL: 0CVE-2020-26417
https://notcve.org/view.php?id=CVE-2020-26417
Information disclosure via GraphQL in GitLab CE/EE 13.1 and later exposes private group and project membership. This affects versions >=13.6 to <13.6.2, >=13.5 to <13.5.5, and >=13.1 to <13.4.7. Una divulgación de información por medio de GraphQL en GitLab CE/EE versiones 13.1 y posteriores, expone la membresía a grupos privados y proyectos. Esto afecta a las versiones posteriores a 13.6 incluyéndola hasta versiones anteriores a 13.6.2, versiones anteriores a 13.5 incluyéndola hasta versiones anteriores a 13.5.5 y versiones posteriores a 13.1 incluyéndola hasta versiones anteriores a 13.4.7 • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-26417.json https://gitlab.com/gitlab-org/gitlab/-/issues/282539 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 4.4EPSS: 0%CPEs: 6EXPL: 0CVE-2020-26416
https://notcve.org/view.php?id=CVE-2020-26416
Information disclosure in Advanced Search component of GitLab EE starting from 8.4 results in exposure of search terms via Rails logs. This affects versions >=8.4 to <13.4.7, >=13.5 to <13.5.5, and >=13.6 to <13.6.2. Una divulgación de información en el componente Advanced Search de GitLab EE a partir de la versión 8.4, resulta en la exposición de los términos de búsqueda por medio de los registros Rails. Esto afecta a las versiones posteriores a 8.4 incluyéndola hasta versiones anteriores a 13.4.7, versiones posteriores a 13.5 incluyéndola, hasta versiones anteriores a 13.5.5 y versiones posteriores a 13.6 incluyéndola hasta versiones anteriores a 13.6.2 • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-26416.json https://gitlab.com/gitlab-org/gitlab/-/issues/244495 • CWE-532: Insertion of Sensitive Information into Log File •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 0CVE-2020-26415
https://notcve.org/view.php?id=CVE-2020-26415
Information about the starred projects for private user profiles was exposed via the GraphQL API starting from 12.2 via the REST API. This affects GitLab >=12.2 to <13.4.7, >=13.5 to <13.5.5, and >=13.6 to <13.6.2. La información sobre los proyectos destacados para perfiles de usuarios privados fue expuesta por medio de la API GraphQL a partir de la versión 12.2, por medio de la API REST. Esto afecta a GitLab versiones posteriores a 12.2 incluyéndola hasta versiones anteriores a 13.4.7, versiones posteriores a 13.5 incluyéndola hasta versiones anteriores a 13.5.5 y versiones posteriores a 13.6 incluyéndola hasta versiones anteriores a 13.6.2 • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-26415.json https://gitlab.com/gitlab-org/gitlab/-/issues/277337 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-862: Missing Authorization •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2020-26409
https://notcve.org/view.php?id=CVE-2020-26409
A DOS vulnerability exists in Gitlab CE/EE >=10.3, <13.4.7,>=13.5, <13.5.5,>=13.6, <13.6.2 that allows an attacker to trigger uncontrolled resource by bypassing input validation in markdown fields. Se presenta una vulnerabilidad de DOS en Gitlab CE/EE versiones posteriores a 10.3 incluyéndola, versiones anteriores a 13.4.7, versiones posteriores a 13.5 incluyéndola, versiones anteriores a 13.5.5, versiones posteriores a 13.6 incluyéndola, versiones anteriores 13.6.2, que permite a un atacante activar un recurso no controlado al omitir la comprobación de entrada en los campos markdown • https://gitlab.com/gitlab-org/cves/-/blob/master/2020/CVE-2020-26409.json https://gitlab.com/gitlab-org/gitlab/-/issues/259626 https://hackerone.com/reports/990461 • CWE-20: Improper Input Validation CWE-400: Uncontrolled Resource Consumption •