GitLab 爆出安全漏洞，允许黑客接管账户
💡
原文中文，约1500字，阅读约需4分钟。
📝
内容提要
GitLab发现了一个安全漏洞(CVE-2024-4835)，允许未经授权的攻击者通过跨站脚本攻击(XSS)轻松接管受害者账户。GitLab已发布更新以修复漏洞，并敦促所有用户升级。该漏洞是VS Code编辑器(Web IDE)中的XSS缺陷，允许攻击者窃取信息。GitLab还修复了其他六个中等严重性的安全漏洞。GitLab以存储敏感数据而闻名，成为威胁行为者的目标。
🎯
关键要点
- GitLab发现了安全漏洞CVE-2024-4835，允许未经授权的攻击者通过XSS攻击接管账户。
- GitLab已发布更新，强烈建议所有用户升级到修复版本。
- 该漏洞存在于VS Code编辑器的Web IDE中，攻击者可以利用恶意页面窃取信息。
- 虽然攻击者可以进行未经身份验证的攻击，但仍需用户交互，增加了攻击复杂性。
- GitLab还修复了其他六个中等严重性的安全漏洞，包括CSRF和拒绝服务漏洞。
- GitLab存放敏感数据，成为威胁攻击者的目标，存在重大网络安全风险。
- CISA曾警告攻击者利用GitLab的零点击账户劫持漏洞CVE-2023-7028。
- 2023年5月，GitLab发布紧急安全更新，解决了严重的路径遍历漏洞CVE-2023-2825。
- CVE-2023-2825漏洞允许攻击者读取服务器上的任意文件，可能导致敏感数据泄露。
➡️
