FICHE CVE

CVE-2024-4024

Publiée le 2024-04-25 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les instances GitLab configurées pour utiliser Bitbucket comme fournisseur OAuth 2.0 sont concernées. Un attaquant possédant son propre compte Bitbucket valide peut potentiellement prendre le contrôle du compte GitLab d'un autre utilisateur, obtenant ainsi un contrôle total sur les données et les projets de cet utilisateur. Cela nécessite un accès réseau ainsi qu'un certain niveau d'interaction de la part de l'utilisateur, mais ne requiert aucun privilège particulier au sein du système GitLab cible.

CVSS 3.17.3 ÉLEVÉE

Type de faiblesse

CWE-302 Authentification incorrecte · CWE-287

Publiée2024-04-25

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue has been discovered in GitLab CE/EE affecting all versions starting from 7.8 before 16.9.6, all versions starting from 16.10 before 16.10.4, all versions starting from 16.11 before 16.11.1. Under certain conditions, an attacker with their Bitbucket account credentials may be able to take over a GitLab account linked to another user's Bitbucket account, if Bitbucket is used as an OAuth 2.0 provider on GitLab.