Vulnerabilidades

Cuando se habilitan las peticiones a la red interna para los webhooks, una vulnerabilidad de tipo server-side request forgery en GitLab CE/EE que afecta a todas las versiones a partir desde 10.5, era posible de explotar por un atacante no autenticado incluso en una instancia de GitLab donde el registro está limitado

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 13.2. Al consultar las ramas del repositorio por medio de API, GitLab ignoraba un parámetro de consulta y devolvía una cantidad considerable de resultados

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 13.8. GitLab no estaba comprobando apropiadamente los tokens de autorización, lo cual resultó en la ejecución de la mutación GraphQL

Se ha detectado un problema en GitLab que afecta a las versiones que comienzan con 13.5 hasta 13.9.7. Una comprobación inapropiada de permisos podría permitir el cambio de la marca de tiempo para la creación o actualización de problemas

Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de la 11.6. Las credenciales de Pull Mirror están expuestas, permitiendo que otros mantenedores sean capaz de visualizar las credenciales en texto plano

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 13.7. GitLab Dependency Proxy, bajo determinadas circunstancias, puede hacerse pasar por un usuario, resultando en un manejo de acceso incorrecto

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones a partir de 11.9. GitLab no estaba comprobado apropiadamente archivos de imagen que fueron pasados a un analizador de archivos, lo que resultó en una ejecución de comando remoto

Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de la 12.9. GitLab era vulnerable a un ataque de tipo XSS almacenado si etiquetas de ámbito eran usadas

Una vulnerabilidad de salto ruta por medio del GitLab Workhorse en todas las versiones de GitLab podría resultar en la fuga de un token JWT

Se ha descubierto un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 13.7.9 antes de la 13.8.7, a todas las versiones a partir de la 13.9 antes de la 13.9.5 y a todas las versiones a partir de la 13.10 antes de la 13.10.1. Una página Wiki especialmente diseñada permitía a los atacantes leer…

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones anteriores. Si la víctima es un administrador, es posible facilitar un ataque de tipo CSRF en los enlaces del Sistema por medio de la API.

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 13.9. Un archivo de importación especialmente diseñado podría leer archivos en el servidor.

Se detecto un problema en GitLab CE/EE que afecta a todas las versiones a partir de la versión 12.6. Bajo una condición especial era posible acceder a los datos de un repositorio interno a través de un fork público del proyecto como usuario anónimo

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones desde 13.8 y superiores, permitiendo a un usuario autenticado eliminar imágenes de métricas de incidentes de proyectos públicos.

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 10.6, donde se presenta un bucle infinito cuando un usuario autenticado con derechos específicos accede a un MR que tiene la rama de origen y de destino apuntando entre sí.

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones a partir de la 13.4. Era posible explotar una vulnerabilidad de tipo cross-site-scripting almacenada en una petición de combinación por medio de un nombre de rama diseñado específicamente.

Una ejecución de código del lado del cliente en gitlab-vscode-extension versión v3.15.0 y anterior, permite al atacante ejecutar código sobre el sistema de usuario

Se identificó una DoS potencial en gitlab-shell en GitLab CE/EE versiones 12.6.0 o superiores, lo que permite a un atacante aumentar la utilización de recursos del servidor por medio del comando gitlab-shell.

En todas las versiones de GitLab, las claves de sesión marshalled estaban siendo almacenadas en Redis

Un problema de divulgación de información en GitLab desde la versión 12.8, permitió a un usuario con acceso a los registros del servidor visualizar información confidencial que no se redactó apropiadamente.

Se ha detectado un problema en GitLab que afecta a todas las versiones desde 13.4. Un control de acceso inapropiado permite a usuarios no autorizados acceder a los detalles de las páginas analíticas.

Una autorización inapropiada en GitLab versión 12.8+, permite a un usuario invitado en un proyecto privado visualizar datos de etiquetas que deberían ser inaccesibles en la página de lanzamientos

Se identificó un problema en GitLab EE versiones 13.4 o posteriores, que filtró la dirección IP interna por medio de mensajes de error

Se ha detectado un problema en GitLab que afecta a todas las versiones a partir de 7.1. Un miembro de un grupo privado pudo ser capaz de comprobar el uso de un nombre específico para un proyecto privado

Se ha detectado un problema en GitLab CE/EE que afecta a todas las versiones a partir de 13.2, permitiendo a usuarios autenticados no autorizados ejecutar código arbitrario en el servidor