漏洞类型	XSS	发现时间	2024-02-22	漏洞等级	高危
MPS编号	MPS-32tr-yco1	CVE编号	CVE-2024-1451	漏洞影响广度	广

目录隐藏

2.1 OSCS 平台影响范围和处置方案

3 排查方式

漏洞危害

OSCS 描述

GitLab 是由GitLab公司开发的、基于Git的集成软件开发平台。
GitLab 受影响版本中的用户资料页面存在存储型XSS漏洞，攻击者可将恶意载荷添加到个人资料(Pronunciation字段)中，并诱导其他用户访问攻击者个人资料进而执行恶意js，攻击者可能利用该漏洞窃取用户会话令牌等敏感信息。
参考链接：https://www.oscs1024.com/hd/MPS-32tr-yco1

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围	处置方式	处置方法
gitlab [16.9, 16.9.1)	升级	将组件 gitlab 升级至 16.9.1 及以上版本
参考链接：https://www.oscs1024.com/hd/MPS-32tr-yco1

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html

方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html

方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html

更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-32tr-yco1

https://nvd.nist.gov/vuln/detail/CVE-2024-1451

https://gitlab.com/gitlab-org/gitlab-foss/-/commit/eac095941872f337e573563fe59f5c57f7d7c448

https://hackerone.com/reports/2371126

GitLab 16.9存储型XSS漏洞 (CVE-2024-1451)

漏洞危害

影响范围及处置方案

OSCS 平台影响范围和处置方案

排查方式

相关推荐

snappy-java 的 compress 方法整数溢出漏洞导致拒绝服务 （CVE-2023-34454）[有POC]

禅道项目管理系统身份认证绕过风险 (MPS-djcs-koe8)

PowerJob<=4.3.3 远程代码执行漏洞 （CVE-2023-37754）[有POC]

Mlflow Jinja2 模版注入漏洞 (CVE-2023-6940)

Apache Airflow Spark Provider 反序列化漏洞 (CVE-2023-40195)

snappy-java 的 compress 方法整数溢出漏洞导致拒绝服务（CVE-2023-34454）[有POC]

PowerJob<=4.3.3 远程代码执行漏洞（CVE-2023-37754）[有POC]