GitLab 読み取り専用トークンで認可を回避されるおそれ
Summary
GitLab CE/EE において、認証済みの利用者が read_api スコープのトークンで制限を回避し、プロジェクトの受信メールアドレスを取得して作業項目を作成できるおそれがあります。影響を受けるのは 18.3 から 19.3.6 未満、19.4 から 19.4.3 未満、19.5 から 19.5.1 未満のバージョンです。修正版が公開されていますので、該当するバージョンのご利用者は速やかに更新してください。
Auto-generated summary
Assembled by SecPulse from the source data (CVSS, CWE, affected versions) using templates — no AI involved. Check the original description and references below for exact details.
GitLab CE/EE において、認証済みの利用者が read_api スコープのトークンで制限を回避し、プロジェクトの受信メールアドレスを取得して作業項目を作成できるおそれがあります。影響を受けるのは 18.3 から 19.3.6 未満、19.4 から 19.4.3 未満、19.5 から 19.5.1 未満のバージョンです。修正版が公開されていますので、該当するバージョンのご利用者は速やかに更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| GitLab | GitLab |
≥ 18.2, < 19.3.6 ≥ 19.4, < 19.4.3 ≥ 19.5, < 19.5.1 |
19.3.6 19.4.3 19.5.1 |
Original description The description as published by the source.
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 19.3.6, 19.4 before 19.4.3, and 19.5 before 19.5.1 that, under certain conditions, could have allowed an authenticated user with a read_api-scoped token to retrieve a project's incoming email address and create work items, bypassing the token's restrictions, due to insufficient scope enforcement on a GraphQL field.
Source: GitLab Security Releases NVD