GitLab 16.9存储型XSS漏洞 (CVE-2024-1451)

漏洞类型 XSS 发现时间 2024-02-22 漏洞等级 高危
MPS编号 MPS-32tr-yco1 CVE编号 CVE-2024-1451 漏洞影响广度 广

漏洞危害

OSCS 描述
GitLab 是由GitLab公司开发的、基于Git的集成软件开发平台。
GitLab 受影响版本中的用户资料页面存在存储型XSS漏洞,攻击者可将恶意载荷添加到个人资料(Pronunciation字段)中,并诱导其他用户访问攻击者个人资料进而执行恶意js,攻击者可能利用该漏洞窃取用户会话令牌等敏感信息。
参考链接:https://www.oscs1024.com/hd/MPS-32tr-yco1

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
gitlab [16.9, 16.9.1) 升级 将组件 gitlab 升级至 16.9.1 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-32tr-yco1

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-32tr-yco1

https://nvd.nist.gov/vuln/detail/CVE-2024-1451

https://gitlab.com/gitlab-org/gitlab-foss/-/commit/eac095941872f337e573563fe59f5c57f7d7c448

https://hackerone.com/reports/2371126

(0)
上一篇 2024年2月23日 上午12:00
下一篇 2024年2月26日 下午12:00

相关推荐

  • Frigate config 端点存在反序列化漏洞 (CVE-2023-45672)

    漏洞类型 反序列化 发现时间 2023-10-31 漏洞等级 高危 MPS编号 MPS-2lgp-otxu CVE编号 CVE-2023-45672 漏洞影响广度 一般 漏洞危害 OSCS 描述 Frigate 是一个基于实时AI目标检测的开源NVR。 v0.13.0 Beta 3 之前版本中,由于 builtin.py#load_config_with_n…

    2023年10月31日
    0
  • Apache Superset 默认示例数据库权限提升漏洞 (CVE-2023-40610)

    漏洞类型 SQL注入 发现时间 2023-11-27 漏洞等级 高危 MPS编号 MPS-iztk-bu2h CVE编号 CVE-2023-40610 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个开源的数据可视化和业务智能平台,可用于数据探索分析和数据可视化。 受影响版本中,默认情况下示例数据库表是在 Superset …

    2023年11月28日
    0
  • Apache Superset Jinja 模板查询验证不当漏洞 (CVE-2023-27523)

    漏洞类型 输入验证不恰当 发现时间 2023-09-06 漏洞等级 中危 MPS编号 MPS-2023-6815 CVE编号 CVE-2023-27523 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个开源的数据可视化工具,SQL Lab和Explore支持在查询中使用Jinja模板。 Apache Superset 2….

    2023年9月11日
    0
  • Elasticsearch simulate pipeline API 存在拒绝服务风险 (CVE-2023-46673)

    漏洞类型 对异常条件的处理不恰当 发现时间 2023-11-22 漏洞等级 中危 MPS编号 MPS-gtbf-0qxw CVE编号 CVE-2023-46673 漏洞影响广度 广 漏洞危害 OSCS 描述 Elasticsearch 是开源的搜索引擎,simulate pipeline API 用于模拟指定的管道(pipeline)对提供的文档进行处理。在…

    2023年11月23日
    0
  • Spring Security isFullyAuthenticated方法验证不当漏洞 (CVE-2024-22234)

    漏洞类型 访问控制不当 发现时间 2024-02-19 漏洞等级 中危 MPS编号 MPS-nwpz-uj03 CVE编号 CVE-2024-22234 漏洞影响广度 一般 漏洞危害 OSCS 描述 Spring Security 是基于Spring应用程序的认证和访问控制框架,AuthenticationTrustResolver.isFullyAuthe…

    2024年2月20日
    0