The version of GitLab installed on the remote host is affected by a vulnerability, as follows:

  - An Improper Access Control vulnerability in the GraphQL API in all versions of GitLab CE/EE starting from     13.1 before 14.2.6, all versions starting from 14.3 before 14.3.4, and all versions starting from 14.4     before 14.4.1 allows a Merge Request creator to resolve discussions and apply suggestions after a project     owner has locked the Merge Request (CVE-2021-39904)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Gitlab reports :

Stored XSS via ipynb files

Pipeline schedules on imported projects can be set to automatically active after import

Potential Denial of service via Workhorse

Improper Access Control allows Merge Request creator to bypass locked status

Projects API discloses ID and name of private groups

Severity of an incident can be changed by a guest user

System root password accidentally written to log file

Potential DoS via a malformed TIFF image

Bypass of CODEOWNERS Merge Request approval requirement

Change project visibility to a restricted option

Project exports leak external webhook token value

SCIM token is visible after creation

Invited group members, with access inherited from parent group, continue to have project access even after invited subgroup is transfered

Regular expression denial of service issue when cleaning namespace path

Prevent creation of scopeless apps using applications API

Webhook data exposes assignee's private email address

リモートホストにインストールされている GitLab のバージョンは、以下の脆弱性の影響を受けます:

  - GraphQL API における不適切なアクセス制御の脆弱性が、GitLab CE/EE のバージョン 14.2.6 以前の 13.1 から始まるすべてのバージョン、14.3.4 以前の 14.3 から始まるすべてのバージョン、14.4.1 以前の 14.4 から始まるすべてのバージョンに存在し、プロジェクト所有者がマージリクエストをロックした後でも、マージリクエストの作成者がディスカッションを解決し、提案を適用することが可能です。(CVE-2021-39904)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程主机上安装的 GitLab 版本受到以下漏洞的影响：

  - GitLab CE/EE 的 GraphQL API 中存在未正确访问控制漏洞，13.1 至 14.2.6、14.3 至 14.3.4 以及 14.4 至 14.4.1 的所有版本均受此影响，该漏洞允许合并请求创建者在项目所有者锁定合并请求后解决讨论并应用建议 (CVE-2021-39904)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 GitLab 版本受到下列弱點影響：

  - 在 13.1 至 14.2.6、14.3 至 14.3.4 以及 14.4 至 14.4.1 的所有 GitLab CE/EE 版本中，GraphQL API 中均存在不當存取控制弱點，合併要求建立者可藉此來處理討論，並在專案擁有者鎖定合併要求後套用建議 (CVE-2021-39904)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Gitlabによる報告：

ipynbファイルを介したXSSの保存

インポートしたプロジェクトのパイプラインスケジュールを、インポート後に自動的にアクティブに設定できます

Workhorseを介した潜在的なサービス拒否

不適切なアクセスコントロールにより、マージリクエスト作成者がロック状態をバイパスする可能性があります

Projects APIがプライベートグループのIDと名前を漏洩します

ゲストユーザーがインシデントの重要度を変更する可能性があります

システムrootパスワードが誤ってログファイルに書き込まれます

無効な形式のTIFF画像による潜在的なDoS

CODEOWNERSマージリクエスト承認要件のバイパス

プロジェクトの可視性を制限付きオプションに変更

プロジェクトのエクスポートで外部webhookトークン値が漏洩する

作成後にSCIMトークンが表示される

招待されたサブグループが転送された後も、親グループから受け継いだアクセス権を持つ、招待されたグループメンバーがプロジェクトへのアクセス権を持ち続ける

名前空間パスを消去する際の正規表現のサービス拒否問題

アプリケーションAPIを使用して、スコープのないアプリの作成を防止します

Webhookデータが担当者のプライベートメールアドレスを漏洩

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
159920	GitLab 13.1 < 14.2.6 / 14.3 < 14.3.4 / 14.4 < 14.4.1 (CVE-2021-39904)	Nessus	CGI abuses	2022/4/20	2024/10/23	medium
154774	FreeBSD : Gitlab -- Multiple Vulnerabilities (33557582-3958-11ec-90ba-001b217b3468)	Nessus	FreeBSD Local Security Checks	2021/11/1	2023/11/27	medium
159920	GitLab 13.1 < 14.2.6 / 14.3 < 14.3.4 / 14.4 < 14.4.1 (CVE-2021-39904)	Nessus	CGI abuses	2022/4/20	2024/10/23	medium
159920	GitLab 13.1 < 14.2.6 / 14.3 < 14.3.4 / 14.4 < 14.4.1 (CVE-2021-39904)	Nessus	CGI abuses	2022/4/20	2024/10/23	medium
159920	GitLab 13.1 < 14.2.6 / 14.3 < 14.3.4 / 14.4 < 14.4.1 (CVE-2021-39904)	Nessus	CGI abuses	2022/4/20	2024/10/23	medium
154774	FreeBSD：Gitlab -- 複数の脆弱性（33557582-3958-11ec-90ba-001b217b3468）	Nessus	FreeBSD Local Security Checks	2021/11/1	2023/11/27	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium