Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2024-8754

Опубликовано: 12 сент. 2024
Источник: nvd
CVSS3: 6.4
CVSS3: 8.1
EPSS Низкий

Уязвимость захвата учетных записей в GitLab EE/CE через некорректную валидацию входных данных при использовании JWT-аутентификации

Описание

Обнаружена проблема в GitLab EE/CE, где ошибка некорректной валидации входных данных позволяет злоумышленнику захватывать учетные записи путем связывания произвольных неподтвержденных идентификаторов провайдеров, если настроена JWT-аутентификация.

Затронутые версии ПО

  • все версии, начиная с 16.9.7 до 17.1.7
  • все версии, начиная с 17.2 до 17.2.5
  • все версии, начиная с 17.3 до 17.3.2

Тип уязвимости

Захват учетных записей

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:*
Версия от 16.9.7 (включая) до 17.1.7 (исключая)
cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:*
Версия от 16.9.7 (включая) до 17.1.7 (исключая)
cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:*
Версия от 17.2.0 (включая) до 17.2.5 (исключая)
cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:*
Версия от 17.2.0 (включая) до 17.2.5 (исключая)
cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:*
Версия от 17.3.0 (включая) до 17.3.2 (исключая)
cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:*
Версия от 17.3.0 (включая) до 17.3.2 (исключая)

EPSS

Процентиль: 4%
0.0002
Низкий

6.4 Medium

CVSS3

8.1 High

CVSS3

Дефекты

CWE-642
NVD-CWE-noinfo

Связанные уязвимости

CVSS3: 6.4
ubuntu
больше 1 года назад

An issue has been discovered in GitLab EE/CE affecting all versions from 16.9.7 prior to 17.1.7, 17.2 prior to 17.2.5, and 17.3 prior to 17.3.2. An improper input validation error allows attacker to squat on accounts via linking arbitrary unclaimed provider identities when JWT authentication is configured.

CVSS3: 6.4
debian
больше 1 года назад

An issue has been discovered in GitLab EE/CE affecting all versions fr ...

CVSS3: 6.4
github
больше 1 года назад

An issue has been discovered in GitLab EE/CE affecting all versions from 16.9.7 prior to 17.1.7, 17.2 prior to 17.2.5, and 17.3 prior to 17.3.2. An improper input validation error allows attacker to squat on accounts via linking arbitrary unclaimed provider identities when JWT authentication is configured.

EPSS

Процентиль: 4%
0.0002
Низкий

6.4 Medium

CVSS3

8.1 High

CVSS3

Дефекты

CWE-642
NVD-CWE-noinfo