Yvvdwfon

**Nome do software vulnerável e versões afetadas** GitLab CE/EE versões 11.6 a 17.2.9 GitLab CE/EE versões 17.3 a 17.3.5 GitLab CE/EE versões 17.4 a 17.4.2 **Descrição** A vulnerabilidade está relacionada a erros de autenticação no GitLab, permitindo que um invasor remoto acione pipelines como outro usuário em determinadas circunstâncias. Isso pode levar ao acesso não autorizado e ao controle sobre os pipelines. O número estimado de dispositivos potencialmente afetados não foi divulgado. **Recomendações** Para as versões 11.6 a 17.2.9 do GitLab CE/EE, atualize para a versão 17.2.9 para resolver o problema. Para as versões 17.3 a 17.3.5 do GitLab CE/EE, atualize para a versão 17.3.5 para resolver o problema. Para as versões 17.4 a 17.4.2 do GitLab CE/EE, atualize para a versão 17.4.2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos gatilhos de pipeline para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** GitLab CE/EE versões 16.9 a 16.9.3 GitLab CE/EE versões 16.10 a 16.10.1 **Descrição** Foi detectada uma falha no GitLab CE/EE que pode levar a um ataque XSS armazenado (Stored XSS) durante o uso do visualizador de diferenças. Isso permite que invasores realizem ações arbitrárias em nome das vítimas. **Recomendações** Para as versões 16.9 a 16.9.3 do GitLab CE/EE, atualize para a versão 16.9.4 ou posterior. Para as versões 16.10 a 16.10.1 do GitLab CE/EE, atualize para a versão 16.10.2 ou posterior.

**Nome do software vulnerável e versões afetadas** GitLab CE/EE versões 16.9 a 16.9.0 **Descrição** O problema está relacionado à falta de proteção da estrutura da página da web ao lidar com a página de perfil do usuário, permitindo um ataque XSS armazenado no lado do cliente. Isso poderia permitir que um invasor remoto realizasse ações arbitrárias em nome das vítimas, adicionando uma carga maliciosa à página de perfil do usuário. **Recomendações** Para as versões 16.9 a 16.9.0 do GitLab CE/EE, atualize para a versão 16.9.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à página de perfil do usuário até que a atualização seja aplicada. Evite usar a página de perfil do usuário para operações confidenciais até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões 8.13 a 16.5.6 do GitLab CE/EE Versões 16.6 a 16.6.4 do GitLab CE/EE Versões 16.7 a 16.7.2 do GitLab CE/EE **Descrição** O problema está relacionado a verificações de autorização incorretas no GitLab, permitindo que um usuário abuse das integrações com o Slack/Mattermost para executar comandos de barra como outro usuário. Isso pode permitir que um invasor remoto execute comandos arbitrários. **Recomendações** Para as versões 8.13 a 16.5.6 do GitLab CE/EE, atualize para a versão 16.5.6 ou posterior. Para as versões 16.6 a 16.6.4 do GitLab CE/EE, atualize para a versão 16.6.4 ou posterior. Para as versões 16.7 a 16.7.2 do GitLab CE/EE, atualize para a versão 16.7.2 ou posterior. Como solução alternativa temporária, considere restringir o acesso às integrações com o Slack/Mattermost até que um patch seja aplicado. Monitore os logs em busca de sinais de comprometimento.

**Name of the Vulnerable Software and Affected Versions** GitLab versions 15.10 through 16.0 **Description** An issue has been discovered in GitLab, leading to a ReDoS vulnerability in the Jira prefix. **Recommendations** For GitLab versions 15.10 through 16.0, update to version 16.1 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** GitLab CE/EE versions 15.11 through 15.11.6 GitLab CE/EE versions 16.0 through 16.0.1 **Description** An issue has been discovered in GitLab CE/EE where a specially crafted merge request could lead to a stored XSS on the client side. This allows attackers to perform arbitrary actions on behalf of victims. **Recommendations** For GitLab CE/EE versions 15.11 through 15.11.6, update to version 15.11.7 or later. For GitLab CE/EE versions 16.0 through 16.0.1, update to version 16.0.2 or later.

**Name of the Vulnerable Software and Affected Versions** GitLab CE/EE versions 15.4 through 15.9.6 GitLab CE/EE versions 15.10 through 15.10.5 GitLab CE/EE versions 15.11 through 15.11.1 **Description** An issue has been discovered in GitLab CE/EE, where under certain conditions, a malicious unauthorized GitLab user may use a GraphQL endpoint to attach a malicious runner to any project. The vulnerability is related to incorrect permission assignment for a critical resource when handling the GraphQL endpoint. Exploitation of the vulnerability may allow a remote attacker to gain unauthorized access to protected information. **Recommendations** For GitLab CE/EE versions 15.4 through 15.9.6, update to version 15.9.7 to resolve the issue. For GitLab CE/EE versions 15.10 through 15.10.5, update to version 15.10.6 to resolve the issue. For GitLab CE/EE versions 15.11 through 15.11.1, update to version 15.11.2 to resolve the issue. As a temporary workaround, consider restricting access to the GraphQL endpoint to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** GitLab EE versions 15.6 through 15.6.1 **Description** An issue has been discovered in GitLab EE due to improper neutralisation of user-supplied input, allowing the creation of a malicious README page. **Recommendations** For GitLab EE versions 15.6 through 15.6.1, update to version 15.6.1 or later to resolve the issue. As a temporary workaround, consider restricting the ability to create or edit README pages until the update is applied.

**Nome do software vulnerável e versões afetadas** Versões 12.6 a 15.3.4 do GitLab CE/EE Versões 15.4 a 15.4.3 do GitLab CE/EE Versões 15.5 a 15.5.1 do GitLab CE/EE **Descrição** O problema está relacionado à falta de isolamento (sandboxing) de documentos OpenAPI no GitLab CE/EE, o que permite que um invasor induza um usuário a clicar no visualizador Swagger OpenAPI e enviar solicitações HTTP que afetam a conta da vítima. **Recomendações** Para as versões 12.6 a 15.3.4 do GitLab CE/EE, atualize para a versão 15.3.5 ou posterior. Para as versões 15.4 a 15.4.3 do GitLab CE/EE, atualize para a versão 15.4.4 ou posterior. Para as versões 15.5 a 15.5.1 do GitLab CE/EE, atualize para a versão 15.5.2 ou posterior.

**Nome do software vulnerável e versões afetadas** GitLab CE/EE versões 15.2 a 15.2.4 GitLab CE/EE versões 15.3 a 15.3.3 GitLab CE/EE versões 15.4 a 15.4.0 **Descrição** Foi descoberta uma vulnerabilidade de cross-site scripting no GitLab CE/EE, afetando o recurso de verificações de status externas. Isso pode levar a um XSS armazenado, permitindo que invasores realizem ações arbitrárias em nome das vítimas no lado do cliente. **Recomendações** Para as versões 15.2 a 15.2.4, atualize para a versão 15.2.5 ou posterior. Para as versões 15.3 a 15.3.3, atualize para a versão 15.3.4 ou posterior. Para as versões 15.4 a 15.4.0, atualize para a versão 15.4.1 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do GitLab 14.9 a 15.1.5 Versões do GitLab 15.2 a 15.2.3 Versões do GitLab 15.3 a 15.3.1 **Descrição** A vulnerabilidade está relacionada à validação insuficiente de entradas no GitLab, permitindo que um invasor remoto injete dados arbitrários através do campo de descrição na Linha do Tempo de Incidentes. Isso pode levar a solicitações arbitrárias quando uma vítima interage com o conteúdo injetado. Um invasor autenticado pode explorar essa vulnerabilidade. **Recomendações** Para as versões do GitLab 14.9 a 15.1.5, atualize para a versão 15.1.6 ou posterior. Para as versões 15.2 a 15.2.3 do GitLab, atualize para a versão 15.2.4 ou posterior. Para as versões 15.3 a 15.3.1 do GitLab, atualize para a versão 15.3.2 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do GitLab anteriores à 15.1.6 Versões do GitLab da 15.2 à 15.2.4 Versões do GitLab da 15.3 à 15.3.2 **Descrição** O problema está relacionado à validação insuficiente de entradas no componente ipynb Notebook do GitLab, uma plataforma para trabalho colaborativo de código baseada em git. Isso pode permitir que um invasor remoto envie solicitações HTTP arbitrárias explorando uma tag criada especificamente no visualizador do Jupyter Notebook. **Recomendações** Para versões anteriores à 15.1.6, atualize para a versão 15.1.6 ou posterior. Para as versões 15.2 a 15.2.4, atualize para a versão 15.2.5 ou posterior. Para as versões 15.3 a 15.3.2, atualize para a versão 15.3.3 ou posterior.

**Nome do software vulnerável e versões afetadas** GitLab CE/EE versões 11.9 e posteriores **Descrição** A vulnerabilidade está relacionada à injeção de código no lado do cliente por meio de um nome de sinalizador de recurso (Feature Flag) especialmente criado no GitLab, permitindo que um invasor envie solicitações PUT em nome de outros usuários por meio de um link. Isso se deve à filtragem insuficiente das descrições dos Feature Flags, o que pode ser explorado por um invasor remoto para comprometer a integridade dos dados. **Recomendações** Para as versões 11.9 e posteriores do GitLab CE/EE, atualize para uma versão que inclua a correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: GitLab CE/EE versões 12.6.0 e superiores Descrição: Foi identificada uma possível vulnerabilidade de Negação de Serviço (DoS) no gitlab-shell, permitindo que um invasor aumente a utilização dos recursos do servidor por meio do comando gitlab-shell. Recomendações: Para as versões 12.6.0 e superiores do GitLab CE/EE, considere restringir o acesso ao comando gitlab-shell como uma solução temporária até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Versões do GitLab anteriores à 12.2 Descrição: Foi descoberta uma vulnerabilidade no GitLab que o tornava suscetível a um ataque de falsificação de solicitação do lado do servidor (SSRF). O ataque era possível por meio do recurso “Solicitações de saída”. Recomendações: Para versões anteriores à 12.2, atualize para a versão 12.2 ou posterior para resolver o problema. Como solução temporária, considere desativar o recurso Solicitações de Saída até que um patch esteja disponível. Restrinja o acesso a esse recurso para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões 13.2 e posteriores do GitLab Descrição: Foi detectada uma falha no GitLab, tornando-o vulnerável a um ataque de falsificação de solicitação do lado do servidor (SRRF) por meio da integração com o Prometheus. Recomendações: Para as versões 13.2 e posteriores do GitLab, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões 13.10 e posteriores do GitLab **Descrição** O problema está relacionado a um XSS armazenado no visualizador de blobs dos notebooks, que pode ser explorado por um invasor remoto para comprometer a integridade dos dados. Isso se deve à falta de medidas de proteção na estrutura da página da web. **Recomendações** Para as versões 13.10 e posteriores, atualize para uma versão que inclua a correção para o problema de XSS armazenado no visualizador de blobs dos notebooks. Como solução alternativa temporária, considere desativar o visualizador de blobs dos notebooks até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do GitLab anteriores à 12.10.13 **Descrição** Foi detectada uma falha no GitLab que o torna vulnerável a um ataque XSS armazenado no recurso de visualização de blobs. **Recomendações** Para versões anteriores à 12.10.13, atualize para a versão 12.10.13 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do GitLab anteriores à 13.1.10 Versões do GitLab anteriores à 13.2.8 Versões do GitLab anteriores à 13.3.4 **Descrição** Foi descoberta uma vulnerabilidade que torna a funcionalidade Wiki suscetível a um ataque de analisador, impedindo o acesso por meio da interface do usuário. **Recomendações** Para versões anteriores à 13.1.10, atualize para a versão 13.1.10 ou posterior. Para versões anteriores à 13.2.8, atualize para a versão 13.2.8 ou posterior. Para versões anteriores à 13.3.4, atualize para a versão 13.3.4 ou posterior.