GitLab · GitLab CE/EE
CVE-2023-7028
Weak Password Recovery Mechanism for Forgotten Password in GitLab
De quoi s'agit-il
An issue has been discovered in GitLab CE/EE affecting all versions from 16.1 prior to 16.1.6, 16.2 prior to 16.2.9, 16.3 prior to 16.3.7, 16.4 prior to 16.4.5, 16.5 prior to 16.5.6, 16.6 prior to 16.6.4, and 16.7 prior to 16.7.2 in which user account password reset emails could be delivered to an unverified email address.
CISA: GitLab Community and Enterprise Editions contain an improper access control vulnerability. This allows an attacker to trigger password reset emails to be sent to an unverified email address to ultimately facilitate an account takeover.
Que faire
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Échéance pour les agences fédérales américaines : 22 mai 2024
- Ajoutée à la liste de la CISA
- 1 mai 2024
- Publiée
- 12 janvier 2024
- Gravité
- Critique 10,0 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 94% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-284
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (2)
Autres failles exploitées chez GitLab
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 11 sept. 2026 | Path Traversal | Community Edition and Enterprise Edition | Critique 10,0 | 97% |
| 18 févr. 2026 | Server-Side Request Forgery (SSRF) | GitLab | Moyenne 6,8 | 53% |
| 3 févr. 2026 | Server-Side Request Forgery (SSRF) | Community and Enterprise Editions | Moyenne 6,8 | 36% |
| 3 nov. 2021 | Remote Code Execution | Community and Enterprise Editions | Critique 10,0 | 99,7% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.