GitLab による報告：プライベートWikiへのアクセス権のないユーザーがプロジェクトページでこれを参照可能。Matthias Burtscher氏は、ユーザーが対応する権限なしにプロジェクトページでプライベートWikiを表示できることを報告しました。メンバー検索フィールドによるメールアドレスの漏洩。Hugo Geoffroy氏は、メンバー検索フィールドのブルートフォース攻撃によって、任意のユーザーの完全なメールアドレスを検出できることをHackerOneで報告しました。グループAPIがプライベートプロジェクトを漏洩。内部コードレビューにより、ユーザーがグループAPIを使用して、アクセス権のないプライベートプロジェクトを一覧表示できることが検出されました。
コメントの編集によるクロスサイトスクリプティング（XSS）が可能。Sylvain Heiniger氏は、コメントの編集時に任意のJavaScriptコードが実行される可能性があることをHackerOneで報告しました。Issue APIにより、問題が制限または無効化されている場合でも、すべてのユーザーが新しい問題を作成することができます。Mohammad Hasbini氏は、問題がプロジェクト設定でチームメンバーに無効化または制限されている場合でも、任意のユーザーがプロジェクトで新しい問題を作成できることを報告しました。

検出

FreeBSD：Gitlab -- 複数の脆弱性（e72a8864-e0bc-11e7-b627-d43d7e971a1b）

high Nessus プラグイン ID 105260

変更ログが見つかりません