CVE-2024-0410
Publiée le 2024-02-22 · Dernière modification le 2026-06-17
Les installations de GitLab comprises entre les versions 15.1 et 16.9 sont affectées par une faille permettant à un développeur de contourner les approbations CODEOWNERS requises lors d'une demande de fusion (merge request). Un attaquant disposant d'un accès utilisateur basique peut pousser des modifications non autorisées vers une branche protégée en créant intentionnellement un conflit de fusion qui perturbe le processus d'approbation. Cela nécessite un accès réseau ainsi qu'une interaction utilisateur spécifique, et l'exécution est considérée comme difficile car l'attaquant doit manipuler avec précision le conflit de fusion.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An authorization bypass vulnerability was discovered in GitLab affecting versions 15.1 prior to 16.7.6, 16.8 prior to 16.8.3, and 16.9 prior to 16.9.1. A developer could bypass CODEOWNERS approvals by creating a merge conflict.