Vulnerabilidades

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. El mismo código secreto de autenticación de 2 factores era generado, lo que resultaba en que un atacante mantuviera el acceso bajo determinadas condiciones

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. Bajo determinadas condiciones, GitLab no revocaba apropiadamente las sesiones de usuarios y permitía a un usuario malicioso acceder a una cuenta de usuario con una contraseña antigua

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. GitLab era vulnerable a un ataque de tipo XSS almacenado en la página standalone vulnerability

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. La funcionalidad de carga de paquetes Conan no validaba correctamente los parámetros suministrados, resultando en la divulgación limitada de archivos

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. Cuando era habilitada la autenticación de 2 factores para grupos, un usuario malicioso podría omitir esa restricción mediante el envío de una consulta específica hacia el endpoint de la API

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. Una comprobación insuficiente en la API GraphQL permitió a un mantenedor eliminar un repositorio

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. El endpoint Omniauth de GitLab permitió a un usuario malicioso enviar contenido para ser mostrado al usuario dentro de los mensajes de error

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. Un mantenedor de proyecto no autorizado podría editar las insignias de subgrupo debido a una falta de control de autorización

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. El endpoint Oauth de GitLab era vulnerable a unos ataques de fuerza bruta por medio de un parámetro específico

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. Wiki era vulnerable a un ataque del analizador que prohíbe a cualquier persona acceder a la funcionalidad Wiki por medio de la interfaz de usuario

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.0.12, 13.1.10, 13.2.8 y 13.3.4. La integración EKS de GitLab era vulnerable a un ataque de tipo cross-account assume role

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. GitLab no estaba comprobando un Deploy-Token y permitía a un repositorio deshabilitado acceder por medio de una línea de comandos git

La versión 13.3 de GitLab CE/EE anterior a la 13.3.4 era vulnerable a un cambio de ámbito de autorización OAuth sin el consentimiento del usuario en medio del flujo de autorización

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. La funcionalidad revocation no estaba revocando todos los tokens de sesión y se podían reutilizar para obtener una sesión válida

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. En determinados casos, podría ser aceptado un nombre de usuario no válido cuando se activa 2FA

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. Los reporteros del proyecto y superiores podrían ver un EPIC confidencial adjunto a temas confidenciales

Se detectó una vulnerabilidad en GitLab versiones anteriores a 13.1.10, 13.2.8 y 13.3.4. Una Autorización de la API Usa un Token de Trabajo de CI Obsoleto

Para GitLab versiones anteriores a 13.0.12, 13.1.6, 13.2.3, los ajustes de configuración de git controlados por el usuario pueden ser modificados para resultar en un ataque de tipo Server Side Request Forgery

Para GitLab versiones anteriores a 13.0.12, 13.1.6, 13.2.3, se presenta una denegación de servicio en la funcionalidad project import

Para GitLab versiones anteriores a 13.0.12, 13.1.6, 13.2.3 se presenta una vulnerabilidad de cross-site scripting (XSS) en el tooltip del número de referencia de la incidencia.

Para GitLab versiones anteriores a 13.0.12, 13.1.6, 13.2.3, se presenta una vulnerabilidad de tipo cross-site scripting en la lista de problemas por medio del título milestone

Para GitLab versiones anteriores a 13.0.12, 13.1.6, 13.2.3 después que ocurre una transferencia de grupo, los miembros de un grupo principal mantienen su nivel de acceso en el subgrupo conllevando a un acceso inapropiado

Para GitLab versiones anteriores a 13.0.12, 13.1.6, 13.2.3, se presenta un fallo de agotamiento de memoria debido al registro excesivo de un mensaje de error de un correo electrónico de invitación

En GitLab versiones anteriores a 13.2.3, compartir proyectos podría permitir temporalmente un acceso muy permisivo

En GitLab versiones anteriores a 13.0.12, 13.1.6, y 13.2.3, se usó un control de acceso inadecuado en la página de Aplicaciones