CVSS: 5.5EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39894
https://notcve.org/view.php?id=CVE-2021-39894
In all versions of GitLab CE/EE since version 8.0, a DNS rebinding vulnerability exists in Fogbugz importer which may be used by attackers to exploit Server Side Request Forgery attacks. En todas las versiones de GitLab CE/EE desde la versión 8.0, se presenta una vulnerabilidad de reenganche de DNS en el importador Fogbugz que puede ser usada por atacantes para explotar ataques de tipo Server Side Request Forgery • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39894.json https://gitlab.com/gitlab-org/gitlab/-/issues/214399 • CWE-918: Server-Side Request Forgery (SSRF) •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39884
https://notcve.org/view.php?id=CVE-2021-39884
In all versions of GitLab EE since version 8.13, an endpoint discloses names of private groups that have access to a project to low privileged users that are part of that project. En todas las versiones de GitLab EE desde la versión 8.13, un endpoint divulga nombres de grupos privados que tienen acceso a un proyecto a usuarios con pocos privilegios que forman parte de ese proyecto • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39884.json https://gitlab.com/gitlab-org/gitlab/-/issues/25414 https://hackerone.com/reports/447817 •
CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 1CVE-2021-39888
https://notcve.org/view.php?id=CVE-2021-39888
In all versions of GitLab EE starting from 13.10 before 14.1.7, all versions starting from 14.2 before 14.2.5, and all versions starting from 14.3 before 14.3.1 a specific API endpoint may reveal details about a private group and other sensitive info inside issue and merge request templates. En todas las versiones de GitLab EE a partir de la 13.10 antes de la 14.1.7, en todas las versiones a partir de la 14.2 antes de la 14.2.5, y en todas las versiones a partir de la 14.3 antes de la 14.3.1, un punto final específico de la API puede revelar detalles sobre un grupo privado y otra información sensible dentro de las plantillas de incidencias y solicitudes de fusión • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39888.json https://gitlab.com/gitlab-org/gitlab/-/issues/336446 https://hackerone.com/reports/1255128 •
CVSS: 7.5EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39893
https://notcve.org/view.php?id=CVE-2021-39893
A potential DOS vulnerability was discovered in GitLab starting with version 9.1 that allowed parsing files without authorisation. En GitLab, a partir de la versión 9.1, se ha detectado una potencial vulnerabilidad de DOS que permitía analizar archivos sin autorización • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39893.json https://gitlab.com/gitlab-org/gitlab/-/issues/340076 • CWE-862: Missing Authorization •
CVSS: 5.8EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39878
https://notcve.org/view.php?id=CVE-2021-39878
A stored Reflected Cross-Site Scripting vulnerability in the Jira integration in GitLab version 13.0 up to 14.3.1 allowed an attacker to execute arbitrary javascript code. Una vulnerabilidad de tipo Cross-Site Scripting reflejado almacenado en la integración de Jira en GitLab versión 13.0 hasta 14.3.1, permitía a un atacante ejecutar código javascript arbitrario • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39878.json https://gitlab.com/gitlab-org/gitlab/-/issues/334043 https://hackerone.com/reports/1194254 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •