Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 13 OCT · 01:02

CVE-2026-14210 Control de acceso insuficiente en GitLab con tokens de acceso personal

Una lógica de autorización incorrecta en la validación del alcance de propiedad de etiquetas en GitLab CE/EE permitiría que un usuario autenticado con un token de acceso personal de grano fino limitado a un proyecto borre o modifique de forma permanente etiquetas a nivel de grupo. Corregido en 19.2.8, 19.3.5 y 19.4.2.

4.3MEDIA

CVSS 3.1

  • Probabilidad de explotación0,2 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • GitLab

    desde 18.11 hasta antes de 19.2.8desde 19.3 hasta antes de 19.3.5desde 19.4 hasta antes de 19.4.2

Qué hacer

  1. Verificá si usás GitLab y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadBaja
  • DisponibilidadNinguna

Descripción original

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.11 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with a project-scoped fine-grained Personal Access Token to permanently delete or modify group-level labels, due to incorrect authorization logic on label ownership scope validation.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.