Vulnerabilidades

Debido a una vulnerabilidad de referencia directa a objetos insegura en Gitlab EE/CE afectando a todas las versiones desde 11.0 anteriores a 14.8.6, 14.9 anteriores a 14.9.4 y 14.10 anteriores a 14.10.1, un endpoint puede revelar el título de la incidencia a un usuario que haya diseñado una llamada a la API con el ID…

Se ha detectado un problema de autorización incorrecta en GitLab CE/EE afectando a todas las versiones anteriores a 14.8.6, todas las versiones de la 14.9.0 anteriores a 14.9.4 y 14.10.0, y que permite a miembros del proyecto invitados acceder al registro de seguimiento de trabajos cuando está habilitado

Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de 12.10 anteriores a 14.8.6, todas las versiones a partir de 14.9 anteriores a 14.9.4, todas las versiones a partir de 14.10 antes de 14.10.1. GitLab no manejaba correctamente las peticiones maliciosas al endpoint de la API de PyPi, lo…

Un control de acceso inadecuado en GitLab CE/EE que afecta a todas las versiones a partir de la 8.12 antes de la 14.8.6, a todas las versiones a partir de la 14.9 antes de la 14.9.4, y a todas las versiones a partir de la 14.10 antes de la 14.10.1 permite que personas que no son miembros del proyecto accedan al…

Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de la 11.9 anteriores a 14.5.4, todas las versiones a partir de la 14.6.0 anteriores a 14.6.4, todas las versiones a partir de la 14.7.0 anteriores a 14.7.1. GitLab no manejaba correctamente las peticiones masivas para eliminar paquetes…

Un control de acceso inadecuado en las versiones 10.7 anterior a 14.7.7, 14.8 anterior a 14.8.5 y 14.9 anterior a 14.9.2 de GitLab CE/EE permite a un actor malintencionado obtener detalles del último commit de un proyecto privado a través de Merge Requests en determinadas circunstancias

Una falta de saneo de los mensajes de excepción registrados en todas las versiones anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2 de GitLab CE/EE causa el registro de posibles valores confidenciales en URLs no válidas

Un manejo inapropiado de la entrada del usuario en GitLab CE/EE versiones 8.3 anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2, permitía a un atacante explotar un ataque de tipo XSS almacenado al abusar de las referencias de hitos de varias palabras en las descripciones de incidencias,…

Se ha detectado un problema en GitLab CE/EE afectando a todas las versiones a partir de la 12.2 anteriores a 14.7.7, a todas las versiones a partir de la 14.8 anteriores a 14.8.5, a todas las versiones a partir de la 14.9 anteriores a 14.9.2 que permitía a un usuario no autorizado leer las reglas de aprobación de un…

Se ha detectado un problema en GitLab CE/EE afectando a todas las versiones a partir de la 12.1 anteriores a 14.7.7, a todas las versiones a partir de la 14.8 anteriores a 14.8.5, a todas las versiones a partir de la 14.9 anteriores a 14.9.2, en las que era posible un ataque de tipo SSRF ciego mediante la…

Una vulnerabilidad de denegación de servicio cuando son renderizados archivos RDoc en GitLab CE/EE versiones 10 a 14.7.7, 14.8.0 a 14.8.5 y 14.9.0 a 14.9.2, permite a un atacante bloquear la aplicación web de GitLab con un archivo RDoc maliciosamente diseñado

Una neutralización inapropiada de la entrada del usuario en GitLab CE/EE versiones 14.4 anteriores a 14.7.7, todas las versiones a partir de 14.8 anteriores a 14.8.5, todas las versiones a partir de 14.9 anteriores a 14.9.2, permitió a un atacante explotar un ataque de tipo XSS mediante una inyección de HTML en las…

Se ha detectado una potencial vulnerabilidad DoS en Gitlab CE/EE versiones 13.7 anteriores a 14.7.7, todas las versiones a partir de 14.8 anteriores a 14.8.5, todas las versiones a partir de 14.9 anteriores a 14.9.2, que permitía a un atacante desencadenar un alto uso de la CPU por medio de una entrada especialmente…

En GitLab CE/EE versiones 14.7 anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2, era establecida una contraseña embebida para las cuentas registradas mediante un proveedor de OmniAuth (por ejemplo, OAuth, LDAP, SAML), permitiendo a atacantes tomar el control de las cuentas

Una autorización inapropiada en GitLab Pages incluida en GitLab CE/EE afectando a todas las versiones desde la 11.5 anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2, permitía a un atacante robar el token de acceso de un usuario en un sitio web privado de GitLab Pages controlado por el atacante…

Una falta de tiempos de espera apropiados en GitLab Pages incluidos en GitLab CE/EE todas las versiones anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2, permite a un atacante causar un consumo no limitado de recursos

Una falta de filtrado en un mensaje de error en GitLab CE/EE afectando a todas las versiones anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2, expone información confidencial cuando falla una directiva de inclusión en la configuración de CI/CD

Un error de lógica empresarial en la Importación de Proyectos en GitLab CE/EE versiones 14.9 anteriores a 14.9.2, 14.8 anteriores a 14.8.5 y 14.0 anteriores a 14.7.7 causaba, en determinadas condiciones, que los proyectos importados mostraran un usuario incorrecto en la columna "Access Granted" de las páginas de…

Una vulnerabilidad de control de acceso inapropiado en GitLab CE/EE afectando a todas las versiones desde 13.11 hasta 14.7.7, 14.8 hasta 14.8.5 y 14.9 hasta 14.9.2, permite que un usuario no autorizado acceda a los análisis de canalizaciones incluso cuando las canalizaciones públicas están deshabilitadas

Se ha detectado una posible vulnerabilidad de DOS en GitLab CE/EE afectando a todas las versiones desde 13.1 anteriores a 14.7.7, 14.8.0 anteriores a 14.8.5 y 14.9.0 anteriores a 14.9.2. La api para actualizar un activo como enlace desde una versión tenía una comprobación regex que causaba un número exponencial de…

La adición de un número muy grande de etiquetas a un corredor en GitLab CE/EE afectando a todas las versiones anteriores a 14.7.7, 14.8 anteriores a 14.8.5 y 14.9 anteriores a 14.9.2 permite a un atacante afectar al rendimiento de GitLab

Una autorización incorrecta en la funcionalidad integration's branch restriction de Asana en todas las versiones de GitLab CE/EE a partir de la versión 7.8.0 antes de la 14.7.7, todas las versiones a partir de la 14.8 anteriores a 14.8.5, todas las versiones a partir de la 14.9 anteriores a 14.9.2 permite cerrar…

Una comprobación de entrada inapropiada en todas las versiones de GitLab CE/EE usando sendmail para enviar correos electrónicos permitía a un atacante robar variables de entorno por medio de direcciones de correo electrónico especialmente diseñadas

Se ha detectado un problema en GitLab CE/EE afectando a todas las versiones a partir de la 8.15 . Era posible desencadenar un DOS usando la función de matemáticas con una fórmula específica en los comentarios de la edición

Una vulnerabilidad de reenganche de DNS en la integración de Irker IRC Gateway en todas las versiones de GitLab CE/EE desde la versión 7.9, permite a un atacante desencadenar ataques de tipo Server Side Request Forgery (SSRF)