CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 1CVE-2023-6051 – Improper Control of Generation of Code ('Code Injection') in GitLab
https://notcve.org/view.php?id=CVE-2023-6051
An issue has been discovered in GitLab CE/EE affecting all versions before 16.4.4, all versions starting from 16.5 before 16.5.4, all versions starting from 16.6 before 16.6.2. File integrity may be compromised when source code or installation packages are pulled from a specific tag. Se descubrió un problema en GitLab CE/EE que afecta a todas las versiones anteriores a 16.4.4, todas las versiones desde 15.5 anteriores a 16.5.4, todas las versiones desde 16.6 anteriores a 16.6.2. La integridad del archivo puede verse comprometida cuando el código fuente o los paquetes de instalación se extraen de una etiqueta específica. • https://gitlab.com/gitlab-org/gitlab/-/issues/431345 https://hackerone.com/reports/2237165 • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 3.5EPSS: 0%CPEs: 3EXPL: 1CVE-2023-3511 – Incorrect Authorization in GitLab
https://notcve.org/view.php?id=CVE-2023-3511
An issue has been discovered in GitLab EE affecting all versions starting from 8.17 before 16.4.4, all versions starting from 16.5 before 16.5.4, all versions starting from 16.6 before 16.6.2. It was possible for auditor users to fork and submit merge requests to private projects they're not a member of. Se descubrió un problema en GitLab EE que afecta a todas las versiones desde 8.17 anteriores a 16.4.4, todas las versiones desde 16.5 anteriores a 16.5.4, todas las versiones desde 16.6 anteriores a 16.6.2. Los usuarios auditores pudieron bifurcar y enviar solicitudes de fusión a proyectos privados de los que no son miembros. • https://gitlab.com/gitlab-org/gitlab/-/issues/416961 https://hackerone.com/reports/2046752 • CWE-284: Improper Access Control CWE-863: Incorrect Authorization •
CVSS: 8.1EPSS: 0%CPEs: 7EXPL: 1CVE-2023-5332 – Dependency on Vulnerable Third-Party Component in GitLab
https://notcve.org/view.php?id=CVE-2023-5332
Patch in third party library Consul requires 'enable-script-checks' to be set to False. This was required to enable a patch by the vendor. Without this setting the patch could be bypassed. This only affects GitLab-EE. El parche en la librería de terceros Consul requiere que 'enable-script-checks' esté configurado en False. • https://gitlab.com/gitlab-org/omnibus-gitlab/-/issues/8171 https://www.hashicorp.com/blog/protecting-consul-from-rce-risk-in-specific-configurations • CWE-16: Configuration CWE-1395: Dependency on Vulnerable Third-Party Component •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 1CVE-2023-4317 – Incorrect Authorization in GitLab
https://notcve.org/view.php?id=CVE-2023-4317
An issue has been discovered in GitLab affecting all versions starting from 9.2 before 16.4.3, all versions starting from 16.5 before 16.5.3, all versions starting from 16.6 before 16.6.1. It was possible for a user with the Developer role to update a pipeline schedule from an unprotected branch to a protected branch. Se ha descubierto un problema en GitLab que afecta a todas las versiones desde 9.2 anteriores a 16.4.3, todas las versiones desde 16.5 anteriores a 16.5.3, todas las versiones desde 16.6 anteriores a 16.6.1. Un usuario con el rol de Desarrollador podía actualizar una programación de canalización desde una rama desprotegida a una rama protegida. • https://gitlab.com/gitlab-org/gitlab/-/issues/421846 https://hackerone.com/reports/2089517 • CWE-284: Improper Access Control CWE-863: Incorrect Authorization •
CVSS: 3.1EPSS: 0%CPEs: 3EXPL: 1CVE-2023-4658 – Incorrect Authorization in GitLab
https://notcve.org/view.php?id=CVE-2023-4658
An issue has been discovered in GitLab EE affecting all versions starting from 8.13 before 16.4.3, all versions starting from 16.5 before 16.5.3, all versions starting from 16.6 before 16.6.1. It was possible for an attacker to abuse the `Allowed to merge` permission as a guest user, when granted the permission through a group. Se descubrió un problema en GitLab EE que afecta a todas las versiones desde 8.13 anteriores a 16.4.3, todas las versiones desde 16.5 anteriores a 16.5.3, todas las versiones desde 16.6 anteriores a 16.6.1. Era posible que un atacante abusara del permiso "Permitido fusionar" como usuario invitado, cuando se le concedía el permiso a través de un grupo. • https://gitlab.com/gitlab-org/gitlab/-/issues/423835 https://hackerone.com/reports/2104540 • CWE-284: Improper Access Control CWE-863: Incorrect Authorization •