GitLab揭露高風險漏洞，未經身分驗證的攻擊者可發動XSS攻擊接管帳號
支付動態 · 2024-05-24
本週GitLab針對社群版（CE）及企業版（EE）發布更新，修補一系列漏洞，其中最值得留意的部分，是能藉由IDE工具觸發的高風險漏洞CVE-2024-4835，若不修補，攻擊者可用於洩漏使用者機密資訊
5月22日GitLab發布社群版（CE）及企業版（EE）的17.0.1、16.11.3、16.10.6更新，當中修補7個漏洞，其中有1個被列為高風險層級，而特別值得留意。
這項高風險漏洞是CVE-2024-4835，為一鍵點擊的帳號挾持漏洞，攻擊者可製作惡意網頁，在未經身分驗證的情況下，利用Visual Studio Code程式碼編輯器（網頁IDE）觸發漏洞進行跨網站指令碼（XSS）攻擊，從而洩漏使用者機敏資訊，進而有機會接管帳號，CVSS風險評為8.0分。
其餘中等層級的漏洞當中，危險程度較高的是：runner說明欄位的阻斷服務（DoS）漏洞CVE-2024-2874、K8s叢集整合的跨網站偽造請求（CSRF）漏洞CVE-2023-7045等，上述漏洞的CVSS風險評分為6.5、5.4。
熱門文章
亞洲遊戲市場觀察：15大市場熱門遊戲與用戶趨勢
網路遊戲
斯里蘭卡博弈產業大轉型，官方：劍指南亞拉斯維加斯
合規與政策
JILI 宣佈與全球板球傳奇 AB de Villiers（ABD）達成重磅戰略合作
體育遊戲
印度最高法院受理公益訴訟，要求全國禁封「偽裝」成社交遊戲的賭博平台
合規與政策
2027 Global Game Connect（GGC）斯里蘭卡招商全面啟動！業務人脈盡在掌握！
灰度頭條
超級PAC籌資4800萬美元：體育博彩勢力加碼
合規與政策
印第安納州在線賭場法案在眾議院委員會停滯不前
合規與政策
巴西擬將博弈稅率提高至24% 稅收將用於社保與醫療領域
合規與政策
菲律賓博彩技術賽道迎來新變局，B2B 供應模式加速滲透
東南亞資訊
英國確認各垂直行業的賭博稅稅率
合規與政策
菲律賓網絡賭博和加密貨幣仍構成持續的洗錢風險
東南亞資訊
越南博彩管控逐步放寬，惟本土需求仍顯乏力
東南亞資訊
橫跨全球6個城市，灰度8場派對邀你共看世界盃，重塑高質量社交新場景
灰度頭條
西班牙監管機構警告在線賭博平臺存在身份盜竊行為
合規與政策
哈薩克計劃對線上賭場促銷活動進行處罰
合規與政策
