Vulnerabilidades

En todas las versiones de GitLab CE/EE desde versión 11.10, un administrador de un grupo puede visualizar el token SCIM de ese grupo visitando un endpoint específico

En todas las versiones de GitLab CE/EE desde versión 8.0, un atacante puede configurar las programaciones de tuberías para que estén activas en una exportación de proyectos, de modo que cuando un propietario desprevenido importa ese proyecto, las tuberías están activas por defecto en ese proyecto. Bajo condiciones especializadas, esto puede conllevar a una divulgación de información si el proyecto es importado desde una fuente no confiable

Una comprobación inapropiada de los archivos ipynb en GitLab CE/EE versión 13.5 y superiores, permite a un atacante ejecutar código JavaScript arbitrario en nombre de la víctima

Una vulnerabilidad de control de acceso inadecuado en la API GraphQL en todas las versiones de GitLab CE/EE a partir de la 13.1 antes de la 14.2.6, en todas las versiones a partir de la 14.3 antes de la 14.3.4 y en todas las versiones a partir de la 14.4 antes de la 14.4.1 permite a un creador de solicitudes de fusión resolver debates y aplicar sugerencias después de que el propietario de un proyecto haya bloqueado la solicitud de fusión

Una vulnerabilidad de Cross-Site Scripting almacenada en la integración de DataDog en todas las versiones de GitLab CE/EE a partir de la 13.7 antes de la 14.0.9, todas las versiones a partir de la 14.1 antes de la 14.1.4, y todas las versiones a partir de la 14.2 antes de la 14.2.2 permite a un atacante ejecutar código JavaScript arbitrario en nombre de la víctima

En todas las versiones de GitLab CE/EE desde versión 13.0, un usuario con privilegios, mediante una llamada a la API, puede cambiar el nivel de visibilidad de un grupo o un proyecto a una opción restringida incluso después de que el administrador de la instancia establezca esa opción de visibilidad como restringida en la configuración

Un problema de denegación de servicio con expresiones regulares en GitLab versiones 8.13 a 14.2.5, 14.3.0 a 14.3.3 y 14.4.0, podía causar un uso excesivo de recursos cuando se usaba un nombre de usuario especialmente diseñado al aprovisionar un nuevo usuario

Se ha detectado un problema en el archivo gatt-database.c en BlueZ versión 5.61. Puede producirse un uso de memoria previamente liberada cuando un cliente se desconecta durante el procesamiento de D-Bus de una llamada WriteValue

Una autorización incorrecta en GitLab CE/EE versión 13.4 o superior permite a un usuario con membresía de invitado en un proyecto modificar la gravedad de un incidente

** EN DISPUTA ** Crypto++ (también se conoce como Cryptopp) versiones 8.6.0 y anteriores, contienen un filtrado de tiempo en la función MakePublicKey(). Se presenta una clara correlación entre el tiempo de ejecución y la longitud de la clave privada, que puede causar una divulgación de la información de la longitud de la clave privada. Esto podría permitir a atacantes conducir ataques de tiempo. NOTA: este informe es discutido por el vendedor y por múltiples terceros. Las diferencias de tiempo de ejecución son intencionadas. Un usuario puede elegir una clave más larga como compensación entre la fuerza y el rendimiento. Al hacer esta elección, la cantidad de información filtrada a un adversario es de valor infinitesimal

Obsidian Dataview versiones hasta 0.4.12-hotfix1, permite una inyección de eval. La función evalInContext ejecuta la entrada del usuario, que permite a un atacante diseñar archivos Markdown maliciosos que ejecutarán código arbitrario una vez abiertos. NOTA: La versión 0.4.13 proporciona una mitigación para algunos casos de uso

GraphiQL es la implementación de referencia de este monorepo, GraphQL IDE, un proyecto oficial bajo la GraphQL Foundation. Todas las versiones de graphiql anteriores a graphiql@1.4.7 son vulnerables a respuestas de introspección de esquema HTTP comprometidas o valores de prop de esquema con nombres de tipo GraphQL maliciosos, exponiendo una superficie de ataque de tipo XSS dinámica que puede permitir una inyección de código en el autocompletado de operaciones. Para que el ataque tenga lugar, el usuario debe cargar un esquema vulnerable en graphiql. Esto puede ocurrir de varias maneras. Por defecto, la URL del esquema no es controlable por el atacante en graphiql o en sus implementaciones o ejemplos sugeridos, dejando sólo vectores de ataque muy complejos. Si una implementación personalizada del fetcher de graphiql permite que la URL del esquema sea establecida dinámicamente, como un parámetro de consulta de la URL como ?endpoint= en graphql-playground, o un valor proporcionado por la base de datos, entonces esta implementación personalizada de graphiql es vulnerable a ataques de suplantación de identidad, y por lo tanto a ataques de tipo xss de bajo o ningún nivel de privilegio. Las URLs podrían parecerse a cualquier URL de esquema graphql de aspecto genérico. Cabe señalar que los clientes de escritorio como Altair, Insomnia, Postwoman, no parecen ser impactados por esto. Esta vulnerabilidad no afecta a codemirror-graphql, monaco-graphql u otros dependientes, ya que se presenta en onHasCompletion.ts en graphiql. Afecta a todas las bifurcaciones de graphiql, y a todas las versiones publicadas de graphiql