CVE-2021-22227

Versões do GitLab anteriores à 13.11.6

Versões do GitLab anteriores à 13.12.6

Versões do GitLab anteriores à 14.0.2

O problema está relacionado a uma vulnerabilidade de script entre sites refletido. Ela permite que um invasor remoto comprometa a integridade dos dados enviando um link malicioso à vítima. Se a vítima clicar no link, o invasor poderá acionar ações em seu nome.

Para versões anteriores à 13.11.6, atualize para a versão 13.11.6 ou posterior.

Para versões anteriores à 13.12.6, atualize para a versão 13.12.6 ou posterior.

Para versões anteriores à 14.0.2, atualize para a versão 14.0.2 ou posterior.

Como solução alternativa temporária, considere restringir o acesso a pontos de extremidade de API potencialmente vulneráveis, como /api/v1/login ou /users/{id}, até que um patch esteja disponível. Evite usar as variáveis username e password nos pontos de extremidade de API afetados até que o problema seja resolvido.