GitLab устранил проблему в GitLab CE/EE, затрагивающую все версии с 12.8 до 19.0.5, 19.1 до 19.1.3 и 19.2 до 19.2.1, которая при определенных условиях могла позволить аутентифицированному пользователю с ролью сопровождающего изменять конфигурацию защищенной ветки из-за неправильной авторизации в конечной точке API проекта.
Показать оригинальное описание (EN)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 12.8 before 19.0.5, 19.1 before 19.1.3, and 19.2 before 19.2.1 that under certain conditions could have allowed an authenticated user with Maintainer role to modify protected branch configuration due to improper authorization in a projects API endpoint.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 6
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Gitlab Gitlab
cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:*
|
12.8.0
|
19.0.5
|
|
Gitlab Gitlab
cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:*
|
12.8.0
|
19.0.5
|
|
Gitlab Gitlab
cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:*
|
19.1.0
|
19.1.3
|
|
Gitlab Gitlab
cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:*
|
19.1.0
|
19.1.3
|
|
Gitlab Gitlab
cpe:2.3:a:gitlab:gitlab:19.2.0:*:*:*:community:*:*:*
|
— | — |
|
Gitlab Gitlab
cpe:2.3:a:gitlab:gitlab:19.2.0:*:*:*:enterprise:*:*:*
|
— | — |