Bountyyfi

**Nome do Software Vulnerável e Versões Afetadas** GitLab EE versões 18.3 até 19.1.6 GitLab EE versões 19.2 até 19.2.4 GitLab EE versões 19.3 até 19.3.0 **Description** Existe um problema em instâncias autogerenciadas onde a falta de validação de namespace permite que um usuário autenticado atribua frameworks de conformidade ao seu próprio projeto a partir de namespaces aos quais não tem autorização de acesso. **Recommendations** Atualize o GitLab EE versões 18.3 até 19.1.6 para a versão 19.1.7. Atualize o GitLab EE versões 19.2 até 19.2.4 para a versão 19.2.5. Atualize o GitLab EE versões 19.3 até 19.3.0 para a versão 19.3.1.

**Name of the Vulnerable Software and Affected Versions** SteVe versions up to and including 3.11.0 **Description** SteVe is an open-source EV charging station management system susceptible to a transaction hijacking issue. An attacker controlling a registered charger, or even without registration leveraging unauthenticated SOAP endpoints, can terminate any other charger’s active session across the entire network. This occurs because the system identifies transactions by `transactionId` only, without verifying the requesting charger’s ownership. The issue resides in the `OcppServerRepositoryImpl.getTransaction()` function, which lacks a `chargeBoxId` ownership check. An attacker can enumerate sequential `transactionId` values and send StopTransaction messages to terminate active sessions on other chargers. The **API endpoint** used in the attack is the StopTransaction message. The vulnerable parameter is the `transactionId`. **Recommendations** Update SteVe to a version after commit 7f169c6c5b36a9c458ec41ce8af581972e5c724e to address the issue.