GitLab · Community and Enterprise Editions
CVE-2021-22205
GitLab Community and Enterprise Editions Remote Code Execution Vulnerability
ما هي
An issue has been discovered in GitLab CE/EE affecting all versions starting from 11.9. GitLab was not properly validating image files that were passed to a file parser which resulted in a remote command execution.
CISA: GitHub Community and Enterprise Editions that utilize the ability to upload images through GitLab Workhorse are vulnerable to remote code execution. Workhorse passes image file extensions through ExifTool, which improperly validates the image files.
ما العمل
Apply updates per vendor instructions.
الموعد النهائي للوكالات الفدرالية الأمريكية: 17 نوفمبر 2021
- أُضيفت إلى قائمة CISA
- 3 نوفمبر 2021
- نُشرت
- 23 أبريل 2021
- الخطورة
- حرجة 10.0 CVSS 3.1
- احتمال الهجمات خلال الأيام الـ30 القادمة (EPSS)
- 99.7% ضمن أعلى 0.1% من كل الثغرات المعروفة
- نوع الضعف
- CWE-20 CWE-95
- تفاصيل أكثر
- NVD · CVE.org · CISA
كل المراجع (5)
- https://hackerone.com/reports/1154542
- https://gitlab.com/gitlab-org/gitlab/-/issues/327121
- https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22205.json
- http://packetstormsecurity.com/files/164768/GitLab-Unauthenticated-Remote-ExifTool-Command-Injection.html
- http://packetstormsecurity.com/files/164994/GitLab-13.10.2-Remote-Code-Execution.html
ثغرات مُستغلّة أخرى من GitLab
| أُضيفت | الثغرة | المنتج | الخطورة | احتمال الهجوم |
|---|---|---|---|---|
| 03/02/2026 | Server-Side Request Forgery (SSRF) | Community and Enterprise Editions | متوسطة 6.8 | 36% |
| 11/09/2026 | Path Traversal | Community Edition and Enterprise Edition | حرجة 10.0 | 97% |
| 18/02/2026 | Server-Side Request Forgery (SSRF) | GitLab | متوسطة 6.8 | 53% |
| 01/05/2024 | Community and Enterprise Editions Improper Access Control | GitLab CE/EE | حرجة 10.0 | 94% |
المصادر: Known Exploited Vulnerabilities (CISA، ملكية عامة)، وCVE records (cve.org)، وEPSS (FIRST). احتمال الهجوم هو تقدير EPSS لاحتمال أن يحاول أحد استغلال الثغرة خلال الأيام الـ30 القادمة.