GitLab

GitLab 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本57
• 访问控制53
• 信息泄露32
• 代码执行19
• 服务端请求伪造18
• 拒绝服务14
• 不安全的直接对象引用12
• 身份认证11
• 错误配置11
• 跨站请求伪造6
• 路径遍历5
• 开放重定向5
• 业务逻辑5
• 注入与走私4
• 其他弱点3
• 内存破坏1
• SQL 注入1

主要弱点

• 存储型 XSS38
• 访问控制缺陷（通用）31
• 信息泄露28
• SSRF18
• 权限提升18
• 资源消耗失控14
• 命令注入（通用）13
• IDOR12
• XSS（通用）11
• 认证缺陷（通用）7

常见资产

• gitlab.comURL · 126
• · 81
• Your Own GitLab InstanceOTHER · 33
• https://gitlab.com/gitlab-org/gitlabSOURCE_CODE · 8
• customers.gitlab.comURL · 3
• *.gitter.imWILDCARD · 2
• https://gitlab.com/gitlab-org/gitlab-pagesSOURCE_CODE · 2
• https://gitlab.com/gitlab-org/gitlab-runnerSOURCE_CODE · 1
• *.gitlab.netWILDCARD · 1

高票报告

当前状态 5 份 · 全部 257

1. 8
   Adding everyone to the repo due to the lack of rate limit不安全的直接对象引用 · 2020-09-15 · 高危
   $0IDOR
2. 6
   Double linking cause XSS (but blokeced by CSP in gitlab.com)跨站脚本 · 2020-01-20 · 低危
   $0DOM 型 XSS
3. 5
   Guests Will Disclose the Private Project Full Activity Via Project Activity Feeds信息泄露 · 2019-02-08 · 低危
   $0信息泄露
4. 3
   Email notification about login email changed is not received when using verified linked email address身份认证 · 2020-03-25 · 低危
   $0违反安全设计原则（按标题归类）
5. 2
   No Restriction on password其他弱点 · 2022-09-13 · 低危
   $0Unlabeled