CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 0CVE-2022-2499
https://notcve.org/view.php?id=CVE-2022-2499
An issue has been discovered in GitLab EE affecting all versions starting from 13.10 before 15.0.5, all versions starting from 15.1 before 15.1.4, all versions starting from 15.2 before 15.2.1. GitLab's Jira integration has an insecure direct object reference vulnerability that may be exploited by an attacker to leak Jira issues. Se ha detectado un problema en GitLab EE afectando a todas las versiones a partir de 13.10 anteriores a 15.0.5, a todas las versiones a partir de 15.1 anteriores a 15.1.4, a todas las versiones a partir de 15.2 anteriores a 15.2.1. La integración con Jira de GitLab presenta una vulnerabilidad de referencia directa a objetos insegura que puede ser aprovechada por un atacante para filtrar las incidencias de Jira • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2499.json https://gitlab.com/gitlab-org/gitlab/-/issues/360800 https://hackerone.com/reports/1538068 • CWE-639: Authorization Bypass Through User-Controlled Key •
CVSS: 8.5EPSS: 0%CPEs: 6EXPL: 0CVE-2022-2497
https://notcve.org/view.php?id=CVE-2022-2497
An issue has been discovered in GitLab CE/EE affecting all versions starting from 12.6 before 15.0.5, all versions starting from 15.1 before 15.1.4, all versions starting from 15.2 before 15.2.1. A malicious developer could exfiltrate an integration's access token by modifying the integration URL such that authenticated requests are sent to an attacker controlled server. Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 12.6 antes de la 15.0.5, todas las versiones a partir de la 15.1 antes de la 15.1.4, todas las versiones a partir de la 15.2 antes de la 15.2.1. Un desarrollador malintencionado podría exfiltrar el token de acceso de una integración modificando la URL de la integración de forma que las peticiones autenticadas se envíen a un servidor controlado por el atacante • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2497.json https://gitlab.com/gitlab-org/gitlab/-/issues/362671 https://hackerone.com/reports/1557992 •
CVSS: 5.3EPSS: 0%CPEs: 3EXPL: 0CVE-2022-2531
https://notcve.org/view.php?id=CVE-2022-2531
An issue has been discovered in GitLab EE affecting all versions starting from 12.5 before 15.0.5, all versions starting from 15.1 before 15.1.4, all versions starting from 15.2 before 15.2.1. GitLab was not performing correct authentication on Grafana API under specific conditions allowing unauthenticated users to perform queries through a path traversal vulnerability. Se ha detectado un problema en GitLab EE afectando a todas las versiones a partir de 12.5 anteriores a 15.0.5, todas las versiones a partir de 15.1 anteriores a 15.1.4, todas las versiones a partir de 15.2 anteriores a 15.2.1. GitLab no estaba llevando a cabo una autenticación correcta en la API de Grafana bajo condiciones específicas que permitían a usuarios no autenticados llevar a cabo consultas mediante una vulnerabilidad de salto de ruta • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-2531.json https://gitlab.com/gitlab-org/gitlab/-/issues/364252 https://hackerone.com/reports/1566306 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 8.7EPSS: 0%CPEs: 2EXPL: 0CVE-2022-1948
https://notcve.org/view.php?id=CVE-2022-1948
An issue has been discovered in GitLab affecting all versions starting from 15.0 before 15.0.1. Missing validation of input used in quick actions allowed an attacker to exploit XSS by injecting HTML in contact details. Se ha detectado un problema en GitLab afectando a todas las versiones desde 15.0 hasta 15.0.1. Una falta de comprobación de la entrada usada en las acciones rápidas permitía a un atacante explotar una vulnerabilidad de tipo XSS al inyectar HTML en los datos de contacto • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-1948.json https://gitlab.com/gitlab-org/security/gitlab/-/issues/673 https://hackerone.com/reports/1578400 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 6EXPL: 1CVE-2022-0167
https://notcve.org/view.php?id=CVE-2022-0167
An issue has been discovered in GitLab affecting all versions starting from 14.0 before 14.4.5, all versions starting from 14.5.0 before 14.5.3, all versions starting from 14.6.0 before 14.6.2. GitLab was not disabling the Autocomplete attribute of fields related to sensitive information making it possible to be retrieved under certain conditions. Se ha detectado un problema en GitLab afectando a todas las versiones a partir de la 14.0 anteriores a 14.4.5, todas las versiones a partir de la 14.5.0 anteriores a 14.5.3, todas las versiones a partir de la 14.6.0 anteriores a 14.6.2. GitLab no deshabilitaba el atributo Autocompletar de los campos relacionados con información confidencial, haciendo posible su recuperación en determinadas condiciones • https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-0167.json https://gitlab.com/gitlab-org/gitlab/-/issues/339146 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •