CVSS: 5.4EPSS: 0%CPEs: 6EXPL: 0CVE-2021-22262
https://notcve.org/view.php?id=CVE-2021-22262
Missing access control in all GitLab versions starting from 13.12 before 14.0.9, all versions starting from 14.1 before 14.1.4, and all versions starting from 14.2 before 14.2.2 with Jira Cloud integration enabled allows Jira users without administrative privileges to add and remove Jira Connect Namespaces via the GitLab.com for Jira Cloud application configuration page La falta de control de acceso en todas las versiones de GitLab a partir de la 13.12 antes de la 14.0.9, en todas las versiones a partir de la 14.1 antes de la 14.1.4 y en todas las versiones a partir de la 14.2 antes de la 14.2.2 con la integración de Jira Cloud habilitada permite a los usuarios de Jira sin privilegios administrativos añadir y eliminar espacios de nombres de Jira Connect a través de la página de configuración de la aplicación GitLab.com for Jira Cloud • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22262.json https://gitlab.com/gitlab-org/gitlab/-/issues/327062 https://hackerone.com/reports/1147812 • CWE-863: Incorrect Authorization •
CVSS: 5.3EPSS: 0%CPEs: 6EXPL: 0CVE-2021-22257
https://notcve.org/view.php?id=CVE-2021-22257
An issue has been discovered in GitLab affecting all versions starting from 14.0 before 14.0.9, all versions starting from 14.1 before 14.1.4, all versions starting from 14.2 before 14.2.2. The route for /user.keys is not restricted on instances with public visibility disabled. This allows user enumeration on such instances. Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de la 14.0 anteriores a 14.0.9, todas las versiones a partir de la 14.1 anteriores a 14.1.4, todas las versiones a partir de la 14.2 anteriores a 14.2.2. La ruta para /user.keys no está restringida en las instancias con visibilidad pública deshabilitada. • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22257.json https://gitlab.com/gitlab-org/gitlab/-/issues/23832 •
CVSS: 6.8EPSS: 0%CPEs: 6EXPL: 0CVE-2021-22264
https://notcve.org/view.php?id=CVE-2021-22264
An issue has been discovered in GitLab affecting all versions starting from 13.8 before 14.0.9, all versions starting from 14.1 before 14.1.4, all versions starting from 14.2 before 14.2.2. Under specialized conditions, an invited group member may continue to have access to a project even after the invited group, which the member was part of, is deleted. Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de la 13.8 anteriores a 14.0.9, todas las versiones a partir de la 14.1 anteriores a 14.1.4, todas las versiones a partir de la 14.2 anteriores a 14.2.2. En condiciones especiales, un miembro de un grupo invitado puede seguir teniendo acceso a un proyecto incluso después de que se elimine el grupo invitado del que formaba parte • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22264.json https://gitlab.com/gitlab-org/gitlab/-/issues/336073 •
CVSS: 4.3EPSS: 0%CPEs: 3EXPL: 0CVE-2021-39889
https://notcve.org/view.php?id=CVE-2021-39889
In all versions of GitLab EE since version 14.1, due to an insecure direct object reference vulnerability, an endpoint may reveal the protected branch name to a malicious user who makes a crafted API call with the ID of the protected branch. En todas las versiones de GitLab EE desde la versión 14.1, debido a una vulnerabilidad de referencia directa a objetos insegura, un endpoint puede revelar el nombre de la rama protegida a un usuario malintencionado que realice una llamada a la API diseñada con el ID de la rama protegida • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39889.json https://gitlab.com/gitlab-org/gitlab/-/issues/338062 https://hackerone.com/reports/1294017 • CWE-639: Authorization Bypass Through User-Controlled Key •
CVSS: 4.3EPSS: 0%CPEs: 6EXPL: 0CVE-2021-39870
https://notcve.org/view.php?id=CVE-2021-39870
In all versions of GitLab CE/EE since version 11.11, an instance that has the setting to disable Repo by URL import enabled is bypassed by an attacker making a crafted API call. En todas las versiones de GitLab CE/EE a partir de la versión 11.11, un atacante que realice una llamada a la API diseñada puede omitir una instancia que tenga habilitada la opción de desactivar la importación de repositorios por URL • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39870.json https://gitlab.com/gitlab-org/gitlab/-/issues/29748 https://hackerone.com/reports/630263 •