CVSS: 8.7EPSS: 0%CPEs: 3EXPL: 2CVE-2021-39885
https://notcve.org/view.php?id=CVE-2021-39885
A Stored XSS in merge request creation page in all versions of Gitlab EE starting from 13.7 before 14.1.7, all versions starting from 14.2 before 14.2.5, and all versions starting from 14.3 before 14.3.1 allows an attacker to execute arbitrary JavaScript code on the victim's behalf via malicious approval rule names Un XSS almacenado en la página de creación de solicitudes de fusión en todas las versiones de Gitlab EE a partir de la 13.7 antes de la 14.1.7, todas las versiones a partir de la 14.2 antes de la 14.2.5 y todas las versiones a partir de la 14.3 antes de la 14.3.1 permite a un atacante ejecutar código JavaScript arbitrario en nombre de la víctima a través de nombres de reglas de aprobación maliciosos • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-39885.json https://gitlab.com/gitlab-org/gitlab/-/issues/341140 https://hackerone.com/reports/1342009 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.0EPSS: 0%CPEs: 4EXPL: 0CVE-2021-22239
https://notcve.org/view.php?id=CVE-2021-22239
An unauthorized user was able to insert metadata when creating new issue on GitLab CE/EE 14.0 and later. Un usuario no autorizado podía insertar metadatos cuando creaba una nueva incidencia en GitLab CE/EE versiones 14.0 y posteriores • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22239.json https://gitlab.com/gitlab-org/gitlab/-/issues/336301 • CWE-863: Incorrect Authorization •
CVSS: 8.8EPSS: 0%CPEs: 2EXPL: 0CVE-2021-22236
https://notcve.org/view.php?id=CVE-2021-22236
Due to improper handling of OAuth client IDs, new subscriptions generated OAuth tokens on an incorrect OAuth client application. This vulnerability is present in GitLab CE/EE since version 14.1. Debido a un manejo inapropiado de los ID de cliente OAuth, las nuevas suscripciones generaban tokens OAuth en una aplicación de cliente OAuth incorrecta. Esta vulnerabilidad está presente en GitLab CE/EE desde la versión 14.1. • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22236.json https://gitlab.com/gitlab-org/gitlab/-/issues/334925 • CWE-863: Incorrect Authorization •
CVSS: 8.7EPSS: 0%CPEs: 6EXPL: 0CVE-2021-22242
https://notcve.org/view.php?id=CVE-2021-22242
Insufficient input sanitization in Mermaid markdown in GitLab CE/EE version 11.4 and up allows an attacker to exploit a stored cross-site scripting vulnerability via a specially-crafted markdown Un saneo de entradas insuficiente en el markdown de Mermaid en GitLab CE/EE versión 11.4 y superiores, permite a un atacante explotar una vulnerabilidad de tipo cross-site scripting almacenado por medio de un markdown especialmente diseñado • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22242.json https://gitlab.com/gitlab-org/gitlab/-/issues/332528 https://hackerone.com/reports/1212822 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.6EPSS: 0%CPEs: 6EXPL: 0CVE-2021-22237
https://notcve.org/view.php?id=CVE-2021-22237
Under specialized conditions, GitLab may allow a user with an impersonation token to perform Git actions even if impersonation is disabled. This vulnerability is present in GitLab CE/EE versions before 13.12.9, 14.0.7, 14.1.2 En condiciones especiales, GitLab puede permitir que un usuario con un token de suplantación lleve a cabo acciones de Git aunque la suplantación esté desactivada. Esta vulnerabilidad está presente en GitLab CE/EE versiones anteriores a 13.12.9, 14.0.7, 14.1.2 • https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22237.json https://gitlab.com/gitlab-org/gitlab/-/issues/297516 • CWE-384: Session Fixation •