CVE-2021-39904
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W podatności CVE-2021-39904 występuje niewłaściwa kontrola dostępu w API GraphQL we wszystkich wersjach GitLab CE/EE od 13.1 do 14.2.6, od 14.3 do 14.3.4 oraz od 14.4 do 14.4.1. Umożliwia to twórcy Merge Requesta rozwiązywanie dyskusji i stosowanie sugestii po zablokowaniu Merge Requesta przez właściciela projektu.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane zmiany w Merge Requestach, co może prowadzić do niezamierzonych modyfikacji kodu i obniżenia bezpieczeństwa projektu.
Rekomendacja
Zaleca się aktualizację GitLab do najnowszej wersji, aby usunąć tę podatność oraz przegląd polityki dostępu do Merge Requestów.
Oryginalny opis (angielski, źródło NVD)
An Improper Access Control vulnerability in the GraphQL API in all versions of GitLab CE/EE starting from 13.1 before 14.2.6, all versions starting from 14.3 before 14.3.4, and all versions starting from 14.4 before 14.4.1 allows a Merge Request creator to resolve discussions and apply suggestions after a project owner has locked the Merge Request