GitLab 中网页生成期间输入的不正确中和(“跨站脚本”)(CVE-2023-6033)

CVE编号

CVE-2023-6033

利用情况

暂无

补丁情况

N/A

披露时间

2023-11-08
漏洞描述
GitLab CE/EE中的Jira集成配置存在输入不当中和漏洞。攻击者可以利用该漏洞在受害者的浏览器中执行恶意JavaScript代码。此漏洞影响所有15.10版本之前的版本和16.6.1之前的版本、16.5之前的16.5.3版本以及16.4之前的16.4.3版本。攻击者可通过构造恶意输入数据来触发该漏洞,从而执行任意JavaScript代码,可能导致信息泄露、会话劫持或跨网站脚本攻击(XSS)等安全问题。建议用户尽快更新受影响版本,以修复此漏洞。
解决建议
建议您更新当前系统或软件至最新版,完成漏洞的修复。
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 gitlab gitlab * From
(including)
15.10
Up to
(excluding)
16.6.1
运行在以下环境
应用 gitlab gitlab * From
(including)
16.4.0
Up to
(excluding)
16.4.3
运行在以下环境
应用 gitlab gitlab * From
(including)
16.5.0
Up to
(excluding)
16.5.3
CVSS3评分
8.7
  • 攻击路径
    网络
  • 攻击复杂度
  • 权限要求
  • 影响范围
    已更改
  • 用户交互
    需要
  • 可用性
  • 保密性
  • 完整性
CWE-ID 漏洞类型
CWE-79 在Web页面生成时对输入的转义处理不恰当(跨站脚本)
阿里云安全产品覆盖情况