CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 1CVE-2023-5061 – Missing Authorization in GitLab
https://notcve.org/view.php?id=CVE-2023-5061
An issue has been discovered in GitLab affecting all versions starting from 9.3 before 16.4.4, all versions starting from 16.5 before 16.5.4, all versions starting from 16.6 before 16.6.2. In certain situations, it may have been possible for developers to override predefined CI variables via the REST API. Se ha descubierto un problema en GitLab que afecta a todas las versiones desde 9.3 anteriores a 16.4.4, todas las versiones desde 16.5 anteriores a 16.5.4, todas las versiones desde 16.6 anteriores a 16.6.2. En determinadas situaciones, es posible que los desarrolladores hayan podido anular las variables de CI predefinidas a través de la API REST. • https://gitlab.com/gitlab-org/gitlab/-/issues/425521 https://hackerone.com/reports/2125189 • CWE-285: Improper Authorization CWE-862: Missing Authorization •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 1CVE-2023-6051 – Improper Control of Generation of Code ('Code Injection') in GitLab
https://notcve.org/view.php?id=CVE-2023-6051
An issue has been discovered in GitLab CE/EE affecting all versions before 16.4.4, all versions starting from 16.5 before 16.5.4, all versions starting from 16.6 before 16.6.2. File integrity may be compromised when source code or installation packages are pulled from a specific tag. Se descubrió un problema en GitLab CE/EE que afecta a todas las versiones anteriores a 16.4.4, todas las versiones desde 15.5 anteriores a 16.5.4, todas las versiones desde 16.6 anteriores a 16.6.2. La integridad del archivo puede verse comprometida cuando el código fuente o los paquetes de instalación se extraen de una etiqueta específica. • https://gitlab.com/gitlab-org/gitlab/-/issues/431345 https://hackerone.com/reports/2237165 • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 3.5EPSS: 0%CPEs: 3EXPL: 1CVE-2023-3511 – Incorrect Authorization in GitLab
https://notcve.org/view.php?id=CVE-2023-3511
An issue has been discovered in GitLab EE affecting all versions starting from 8.17 before 16.4.4, all versions starting from 16.5 before 16.5.4, all versions starting from 16.6 before 16.6.2. It was possible for auditor users to fork and submit merge requests to private projects they're not a member of. Se descubrió un problema en GitLab EE que afecta a todas las versiones desde 8.17 anteriores a 16.4.4, todas las versiones desde 16.5 anteriores a 16.5.4, todas las versiones desde 16.6 anteriores a 16.6.2. Los usuarios auditores pudieron bifurcar y enviar solicitudes de fusión a proyectos privados de los que no son miembros. • https://gitlab.com/gitlab-org/gitlab/-/issues/416961 https://hackerone.com/reports/2046752 • CWE-284: Improper Access Control CWE-863: Incorrect Authorization •
CVSS: 8.1EPSS: 0%CPEs: 7EXPL: 1CVE-2023-5332 – Dependency on Vulnerable Third-Party Component in GitLab
https://notcve.org/view.php?id=CVE-2023-5332
Patch in third party library Consul requires 'enable-script-checks' to be set to False. This was required to enable a patch by the vendor. Without this setting the patch could be bypassed. This only affects GitLab-EE. El parche en la librería de terceros Consul requiere que 'enable-script-checks' esté configurado en False. • https://gitlab.com/gitlab-org/omnibus-gitlab/-/issues/8171 https://www.hashicorp.com/blog/protecting-consul-from-rce-risk-in-specific-configurations • CWE-16: Configuration CWE-1395: Dependency on Vulnerable Third-Party Component •
CVSS: 5.3EPSS: 0%CPEs: 6EXPL: 1CVE-2023-3949 – Insertion of Sensitive Information Into Sent Data in GitLab
https://notcve.org/view.php?id=CVE-2023-3949
An issue has been discovered in GitLab affecting all versions starting from 11.3 before 16.4.3, all versions starting from 16.5 before 16.5.3, all versions starting from 16.6 before 16.6.1. It was possible for unauthorized users to view a public projects' release descriptions via an atom endpoint when release access on the public was set to only project members. Se ha descubierto un problema en GitLab que afecta a todas las versiones desde 11.3 anteriores a 16.4.3, todas las versiones desde 16.5 anteriores a 16.5.3, todas las versiones desde 16.6 anteriores a 16.6.1. Era posible que usuarios no autorizados vieran las descripciones de la versión de un proyecto público a través de un endpoint Atom cuando el acceso a la versión pública estaba configurado solo para los miembros del proyecto. • https://gitlab.com/gitlab-org/gitlab/-/issues/419664 https://hackerone.com/reports/2079374 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-201: Insertion of Sensitive Information Into Sent Data •