台湾网络附加存储 (NAS) 设备制造商 Synology 解决了影响 DiskStation 和 BeePhotos 的一个严重安全漏洞，该漏洞可能导致远程代码执行。

该零日漏洞被 Midnight Blue标记为 CVE-2024-10443 和RISK:STATION，由安全研究员 Rick de Jager 在 2024 年 Pwn2Own 爱尔兰黑客大赛上展示。

这家荷兰公司表示， RISK:STATION 是一种“未经身份验证的零点击漏洞，允许攻击者在流行的 Synology DiskStation 和 BeeStation NAS 设备上获取 root 级代码执行权限，从而影响数百万台设备” 。

该漏洞的零点击特性意味着它不需要任何用户交互来触发攻击，从而允许攻击者访问设备以窃取敏感数据并植入其他恶意软件。

该漏洞影响以下版本 -

BeePhotos for BeeStation OS 1.0（升级至 1.0.2-10026 或更高版本）
BeePhotos for BeeStation OS 1.1（升级至 1.1.0-10053 或更高版本）
Synology Photos 1.6 for DSM 7.2（升级至 1.6.2-0720 或更高版本）
Synology Photos 1.7 for DSM 7.2（升级至 1.7.0-0795 或更高版本）
目前尚未公布有关该漏洞的更多技术细节，以便让客户有足够的时间应用补丁。Midnight Blue 表示，目前有 100 万到 200 万台 Synology 设备同时受到影响并暴露在互联网上。

QNAP 修复 3 个严重漏洞#
此次披露之际，QNAP 解决了影响 QuRouter、SMB Service 和 HBS 3 Hybrid Backup Sync 的三个严重漏洞，这些漏洞均在 Pwn2Own 期间被利用 -

CVE-2024-50389 - 在 QuRouter 2.4.5.032 及更高版本中修复
CVE-2024-50387 - 已在 SMB 服务 4.15.002 和 SMB 服务 h4.15.002 及更高版本中修复
CVE-2024-50388 - 已在 HBS 3 Hybrid Backup Sync 25.1.1.673 及更高版本中修复
虽然没有证据表明上述漏洞已被利用，但建议用户尽快应用补丁，因为 NAS 设备过去曾是勒索软件攻击的高价值目标。

谷歌警告称，影响其 Android 操作系统的安全漏洞已遭到广泛利用。

根据代码提交消息显示，该漏洞的编号为 CVE-2024-43093，是 Android 框架组件中的一个权限提升缺陷，可能导致未经授权访问“Android/data”、“Android/obb”和“Android/sandbox”目录及其子目录。

目前尚无关于该漏洞如何在现实世界的攻击中被利用的详细信息，但谷歌在其月度公告中承认，有迹象表明该漏洞“可能受到有限的、有针对性的利用”。

该科技巨头还指出，高通芯片组中现已修复的安全漏洞 CVE-2024-43047 已被积极利用。该漏洞是数字信号处理器 (DSP) 服务中的一个释放后使用漏洞，成功利用该安全漏洞可能会导致内存损坏。

上个月，该芯片制造商对谷歌 Project Zero 研究员 Seth Jenkins 和 Conghui Wang 报告此漏洞表示感谢，并对国际特赦组织安全实验室确认了这一实际活动表示感谢。

该公告未提供针对该漏洞的攻击活动细节或攻击时间，不过该漏洞有可能被用作针对民间社会成员的高度针对性的间谍软件攻击的一部分。

目前还不清楚这两个安全漏洞是否被设计成一个漏洞利用链，以提升权限并实现代码执行。

CVE-2024-43093 是继CVE-2024-32896之后第二个被积极利用的 Android 框架漏洞，谷歌早在 2024 年 6 月和 9 月就修补了该漏洞。虽然该漏洞最初仅针对 Pixel 设备得到解决，但该公司后来证实该漏洞影响了更广泛的 Android 生态系统。

网络安全研究人员发现了一场“大规模”活动，该活动针对暴露的 Git 配置来窃取凭证、克隆私有存储库，甚至从源代码中提取云凭证。

据估计，该活动代号为EMERALDWHALE，收集了超过 10,000 个私人存储库，并存储在属于先前受害者的 Amazon S3 存储桶中。该存储桶包含不少于 15,000 个被盗凭证，现已被亚马逊关闭。

Sysdig 在一份报告中称： “被盗凭证属于云服务提供商 (CSP)、电子邮件提供商和其他服务。网络钓鱼和垃圾邮件似乎是窃取凭证的主要目标。”

这项多面犯罪活动虽然并不复杂，但已发现其利用大量私人工具窃取凭证以及抓取 Git 配置文件、Laravel .env 文件和原始网络数据。目前尚未发现任何已知威胁行为者或组织实施了该活动。

EMERALDWHALE 采用的工具集针对使用广泛 IP 地址范围的暴露 Git 存储库配置文件的服务器，允许发现相关主机并提取和验证凭证。

这些被盗的令牌随后被用来克隆公共和私有存储库，并获取源代码中嵌入的更多凭证。捕获的信息最终被上传到 S3 存储桶。

威胁行为者用来实现其目标的两个主要程序是 MZR V2 和 Seyzo-v2，它们在地下市场上出售，并且能够接受 IP 地址列表作为输入，以扫描和利用暴露的 Git 存储库。

这些列表通常使用合法搜索引擎（例如 Google Dorks 和 Shodan）以及扫描实用程序（例如MASSCAN）编制。

此外，Sysdig 的分析发现，一份包含超过 67,000 个 URL 的列表，其中暴露了路径“/.git/config”，正在通过 Telegram 以 100 美元的价格出售，这表明 Git 配置文件存在市场。

Sysdig 研究员 Miguel Hernández 表示：“EMERALDWHALE 除了针对 Git 配置文件外，还针对暴露的 Laravel 环境文件。.env 文件包含大量凭证，包括云服务提供商和数据库。”

“凭证的地下市场正在蓬勃发展，尤其是云服务。这次攻击表明，单靠秘密管理不足以确保环境的安全。”

WordPress 的 LiteSpeed Cache 插件中被发现存在一个高严重性安全漏洞，该漏洞可能允许未经身份验证的威胁行为者提升其权限并执行恶意操作。

该漏洞编号为 CVE-2024-50550（CVSS 评分：8.1），已在插件 6.5.2 版本中得到解决。

Patchstack 安全研究员 Rafie Muhammad在分析中表示： “该插件存在未经身份验证的权限提升漏洞，任何未经身份验证的访问者都可以获得管理员级别的访问权限，然后上传和安装恶意插件。”

LiteSpeed Cache 是一款流行的 WordPress 网站加速插件，顾名思义，它具有高级缓存功能和优化功能。它已安装在超过六百万个网站上。

根据 Patchstack 的说法，新发现的问题根源于一个名为 is_role_simulation 的函数，类似于 2024 年 8 月公开记录的早期缺陷（CVE-2024-28000，CVSS 评分：9.8）。

它源于使用弱安全哈希校验，该校验可能被不良行为者暴力破解，从而允许滥用爬虫功能来模拟已登录的用户（包括管理员）。

然而，成功的利用依赖于以下插件配置 -

爬虫 -> 常规设置 -> 爬虫：开启
爬虫 -> 常规设置 -> 运行时长：2500 – 4000
爬虫 -> 常规设置 -> 运行间隔：2500 – 4000
爬虫程序 -> 常规设置 -> 服务器负载限制：0
爬虫->模拟设置->角色模拟：1（具有管理员角色的用户ID）
爬虫 -> 摘要 -> 激活：将除管理员之外的每一行都设置为关闭
LiteSpeed 实施的补丁删除了角色模拟过程，并使用随机值生成器更新哈希生成步骤，以避免将哈希限制为 100 万种可能性。

穆罕默德表示：“这一漏洞凸显了确保用作安全哈希或随机数的值的强度和不可预测性至关重要。”

“PHP 中的 rand() 和 mt_rand() 函数返回的值对于许多用例来说可能‘足够随机’，但它们的不可预测性不足以用于与安全相关的功能，特别是在有限的可能性中使用 mt_srand 时。”

CVE-2024-50550 是过去两个月内 LiteSpeed 披露的第三个安全漏洞，另外两个是CVE-2024-44000（CVSS 分数：7.5）和CVE-2024-47374（CVSS 分数：7.2）。

几周前，Patchstack披露了Ultimate Membership Pro 中的两个严重缺陷，这两个缺陷可能导致权限提升和代码执行。但这些缺陷已在 12.8 版及更高版本中得到解决。

CVE-2024-43240（CVSS 评分：9.4） - 一种未经身份验证的特权提升漏洞，可能允许攻击者注册任何会员级别并获得其附加角色
CVE-2024-43242（CVSS 分数：9.0）——一个未经身份验证的 PHP 对象注入漏洞，可能允许攻击者执行任意代码。
Patchstack 还警告称， WordPress 母公司 Automattic 与 WP Engine 之间正在进行的法律纠纷已促使一些开发人员放弃了 WordPress.org 存储库，因此需要用户监控适当的沟通渠道，以确保他们收到有关可能的插件关闭和安全问题的最新信息。

Patchstack 首席执行官 Oliver Sild表示： “如果用户未能手动安装从 WordPress.org 存储库中删除的插件，则可能无法收到包含重要安全修复程序的新更新。这可能会使网站暴露给经常利用已知漏洞的黑客，并可能利用这种情况。”

影响 Wi-Fi 测试套件的安全漏洞可能使未经身份验证的本地攻击者以提升的权限执行任意代码。

计算机应急响应小组 (CERT) 协调中心 (CERT/CC) 表示，该漏洞的编号为CVE-2024-41992，Wi-Fi 联盟的易受攻击代码已发现部署在 Arcadyan FMIMG51AX000J 路由器上。

CERT/CC在周三发布的公告中表示： “该漏洞允许未经身份验证的本地攻击者通过发送特制的数据包来利用 Wi-Fi 测试套件，从而能够在受影响的路由器上以 root 权限执行任意命令。”

Wi-Fi 测试套件是Wi-Fi 联盟开发的集成平台，可自动测试 Wi-Fi 组件或设备。虽然该工具包的开源组件是公开的，但完整套件仅供其成员使用。

SSD Secure Disclosure于 2024 年 8 月发布了该漏洞的详细信息，称这是一个命令注入案例，可能使威胁行为者能够以 root 权限执行命令。该漏洞最初于 2024 年 4 月报告给 Wi-Fi 联盟。

一位独立研究员，其网名为“fj016”，被发现并报告了这些安全漏洞。这位研究员还提供了该漏洞的概念验证 (PoC) 漏洞利用程序。

CERT/CC 指出，Wi-Fi 测试套件不适用于生产环境，但已在商业路由器部署中发现。

报告称：“成功利用此漏洞的攻击者可以完全控制受影响的设备。”

“通过此访问权限，攻击者可以修改系统设置，破坏关键网络服务或完全重置设备。这些操作可能导致服务中断，网络数据泄露，并可能导致所有依赖受影响网络的用户失去服务。”

由于台湾路由器制造商未发布补丁，建议其他已包含 Wi-Fi 测试套件的供应商将其从生产设备中完全删除或将其更新至 9.0 或更高版本，以降低被利用的风险。

Hacker News 已联系 Wi-Fi 联盟寻求进一步评论，我们将在收到回复后更新报道。

Kubernetes Image Builder 中披露了一个严重的安全漏洞，如果成功利用，可能会在某些情况下被滥用来获取 root 访问权限。

该漏洞编号为CVE-2024-9486（CVSS 评分：9.8），已在 0.1.38 版本中得到解决。项目维护人员感谢 Nicolai Rybnikar 发现并报告了该漏洞。

Red Hat 的 Joel Smith在警报中表示： “在 Kubernetes Image Builder 中发现了一个安全问题，在映像构建过程中启用了默认凭据。”

“此外，使用 Proxmox 提供程序构建的虚拟机映像不会禁用这些默认凭据，并且使用生成的映像的节点可以通过这些默认凭据访问。这些凭据可用于获取 root 访问权限。”

话虽如此，只有当 Kubernetes 集群的节点使用通过 Image Builder 项目与 Proxmox 提供程序创建的虚拟机 (VM) 映像时，集群才会受到该漏洞的影响。

作为临时缓解措施，建议禁用受影响虚拟机上的构建器帐户。还建议用户使用固定版本的 Image Builder 重建受影响的映像并将其重新部署到虚拟机上。

Kubernetes 团队实施的修复措施是，在镜像构建期间，随机生成密码，不再使用默认凭据。此外，在镜像构建过程结束时，构建者帐户将被禁用。

Kubernetes Image Builder 版本 0.1.38 还解决了使用 Nutanix、OVA、QEMU 或原始提供程序创建映像构建时默认凭据的相关问题（CVE-2024-9594，CVSS 分数：6.3）。

CVE-2024-9594 的严重性较低，这是因为使用这些提供程序构建的映像的虚拟机仅会受到影响，“如果攻击者能够到达正在构建映像的虚拟机，并利用漏洞在构建映像时修改映像”。

微软发布了针对 Dataverse、Imagine Cup 和 Power Platform 三个严重漏洞的服务器端补丁，这些漏洞可能导致权限提升和信息泄露 -

CVE-2024-38139（CVSS 评分：8.7）——Microsoft Dataverse 中的不正确身份验证允许授权攻击者通过网络提升权限
CVE-2024-38204（CVSS 评分：7.5）——Imagine Cup 中的不当访问控制允许授权攻击者通过网络提升权限
CVE-2024-38190（CVSS 评分：8.6）- Power Platform 中缺少授权，允许未经身份验证的攻击者通过网络攻击媒介查看敏感信息
此前，Apache Solr 开源企业搜索引擎 (CVE-2024-45216，CVSS 评分：9.8) 中也披露了一个严重漏洞，该漏洞可能为易受攻击实例上的身份验证绕过铺平道路。

GitHub 针对该漏洞的公告指出： “任何 Solr API URL 路径末尾的伪造结尾将允许请求跳过身份验证，同时保持与原始 URL 路径的 API 契约。这个伪造结尾看起来像一个不受保护的 API 路径，但它在身份验证之后但在 API 路由之前在内部被剥离。”

该问题影响 Solr 8.11.4 之前的 5.3.0 版本以及 9.7.0 之前的 9.0.0 版本，已分别在 8.11.4 和 9.7.0 版本中得到修复。

此前有报道称 ScienceLogic SL1 存在一个严重安全漏洞，该漏洞被积极利用为零日漏洞。周一，美国网络安全和基础设施安全局 (CISA)将影响 ScienceLogic SL1 的严重安全漏洞添加到其已知被利用漏洞 ( KEV ) 目录中。

该漏洞的编号为CVE-2024-9537（CVSS v4 评分：9.3），指的是涉及未指定的第三方组件的错误，可能导致远程代码执行。

此问题已在 12.1.3、12.2.3 和 12.3 及更高版本中得到解决。版本 10.1.x、10.2.x、11.1.x、11.2.x 和 11.3.x 也已提供修复。

几周前，云托管提供商 Rackspace承认“已发现 ScienceLogic EM7 门户存在问题”，并于上个月底将其仪表板下线。

一个名为 ynezzor 的账户在 2024 年 9 月 28 日的 X 帖子中表示： “我们已经确认，该第三方应用程序的漏洞导致了对三个内部 Rackspace 监控网络服务器的访问。”

目前尚不清楚此次攻击的幕后黑手是谁，但 Rackspace 已向Bleeping Computer证实，零日漏洞导致未经授权访问其内部性能报告系统，并且已通知所有受影响的客户。The Register最先报道了此次入侵事件。

联邦民事行政部门 (FCEB) 机构必须在 2024 年 11 月 11 日之前应用修复程序，以应对其网络可能面临的威胁。

Fortinet 修补可能被利用的漏洞#
目前，Fortinet 已发布 FortiManager 安全更新，以修复据称被与中国有关的威胁行为者利用的漏洞。

目前尚不清楚该漏洞的详细信息，但 Fortinet 过去曾提前发送机密客户通信，以帮助他们在漏洞向更广泛的受众发布之前加强防御。Hacker News 已联系该公司，如果收到回复，我们将更新该报道。

安全研究员 Kevin Beaumont 在 Mastodon上表示：“FortiGate 发布了 FortiManager 的六个新版本之一，修复了产品中被积极利用的零日漏洞……但他们尚未发布 CVE 或在发布说明中记录存在的问题。也许下周？”

“Fortigate 目前拥有中国使用的世界上最不秘密的零日漏洞，包括在 FortiManager Cloud 中……但每个人都很困惑。”

本月初，CISA根据野外利用的证据，在其 KEV 目录中添加了另一个影响 Fortinet FortiOS、FortiPAM、FortiProxy 和 FortiWeb 的严重漏洞（CVE-2024-23113 ，CVSS 评分：9.8）。

Jetpack WordPress 插件的维护人员发布了一个安全更新来修复一个严重漏洞，该漏洞可能允许登录用户访问网站上其他人提交的表单。

Jetpack 是 WordPress 制造商 Automattic 旗下的一款多合一插件，提供一整套工具来提高网站安全性、性能和流量增长。据其网站称，有 2700 万个 WordPress 网站使用了该插件。

据称，该问题是 Jetpack 在内部安全审核期间发现的，并且自 2016 年发布的 3.9.9 版本以来一直存在。

该漏洞存在于 Jetpack 的“联系表单”功能中，“任何登录网站的用户均可利用该漏洞读取网站访问者提交的表单”，Jetpack 的 Jeremy Herve表示。

Jetpack 表示，它与 WordPress.org 安全团队密切合作，在已安装的网站上自动将插件更新为安全版本。

以下 101 个不同版本的 Jetpack 已解决了此缺陷 -

13.9.1、13.8.2、13.7.1、13.6.1、13.5.1、13.4.4、13.3.2、13.2.3、13.1.4、13.0.1、12.9.4、12.8.2、12.7。 2、12.6.3、12.5.1、12.4.1、12.3.1、12.2.2、12.1.2、12.0.2、11.9.3、11.8.6、11.7.3、11.6.2、11.5.3、 11.4.2、11.3.4、11.2.2、11.1.4、11.0.2、 10.9.3、10.8.2、10.7.2、10.6.2、10.5.3、10.4.2、10.3.2、10.2.3、10.1.2、10.0.2、9.9.3、9.8.3、9.7。 3、9.6.4、9.5.5、9.4.4、9.3.5、9.2.4、9.1.3、9.0.5、8.9.4、8.8.5、8.7.4、8.6.4、8.5.3、 8.4.5、8.3.3、8.2.6、8.1.4、8.0.3、7.9.4、7.8.4、7.7.6、 7.6.4、7.5.7、7.4.5、7.3.5、7.2.5、7.1.5、7.0.5、6.9.4、6.8.5、6.7.4、6.6.5、6.5.4、6.4。 6、6.3.7、6.2.5、6.1.5、6.0.4、5.9.4、5.8.4、5.7.5、5.6.5、5.5.5、5.4.4、5.3.4、5.2.5、 5.1.4、5.0.3、4.9.3、4.8.5、4.7.4、4.6.3、4.5.3、4.4.5、4.3.5、4.2.5、 4.1.4、4.0.7、3.9.10

虽然没有证据表明该漏洞曾被利用，但鉴于其被公开披露，未来很有可能被滥用。

值得注意的是，Jetpack 于 2023 年 6 月推出了类似的修复程序，以修复自 2012 年 11 月以来 Jetpack 插件中的另一个严重缺陷。

这一发展发生在WordPress 创始人马特·穆伦韦格 (Matt Mullenweg) 与托管服务提供商 WP Engine之间持续不断的 争执 之中，WordPress.org 控制了后者的高级自定义字段 (ACF) 插件，以创建自己的名为安全自定义字段 (Secure Custom Fields) 的分支。

Mullenweg表示： “SCF 已进行更新，删除了商业追加销售并修复了安全问题。此次更新尽可能简化，以修复安全问题。”

WordPress 并未透露该安全问题的具体性质，但表示该问题与 $_REQUEST 有关。它还表示，该问题已在 Secure Custom Fields 6.3.6.2 版本中得到解决。

WordPress指出： “他们的代码目前并不安全，他们告诉人们在修复漏洞之前不要使用安全自定义字段，这是对客户的失职。” “我们也私下通知过他们，但他们没有回应。”

WP Engine 在 X 上的一篇文章中声称WordPress 从未“在未经同意的情况下”从“创建者”手中“单方面强行”拿走积极开发的插件。

对此，WordPress 表示“这种情况之前已经发生过几次”，并且它保留禁用或从目录中删除任何插件、删除开发人员对插件的访问权限或为了公共安全而“未经开发人员同意”进行更改的权利。

美国网络安全和基础设施安全局 (CISA) 警告称，其发现威胁行为者利用 F5 BIG-IP 本地流量管理器 (LTM) 模块管理的未加密持久 cookie 对目标网络进行侦察。

据称，该模块被用来枚举网络上其他非互联网设备。然而，该机构并未透露此次活动的幕后黑手是谁，也未透露此次活动的最终目标是什么。

CISA在一份咨询报告中表示：“恶意网络行为者可以利用从未加密的持久性 cookie 收集的信息来推断或识别额外的网络资源，并可能利用网络上其他设备中发现的漏洞。”

它还建议各组织通过在 HTTP 配置文件中配置 cookie 加密来加密 F5 BIG-IP 设备中使用的持久性 cookie。此外，它还敦促用户通过运行 F5 提供的名为BIG-IP iHealth的诊断实用程序来验证其系统的保护情况，以识别潜在问题。

F5 在一份支持文件中指出：“BIG-IP iHealth 系统的 BIG-IP iHealth 诊断组件会根据已知问题、常见错误和已发布的 F5 最佳实践的数据库，评估 BIG-IP 系统的日志、命令输出和配置。”

“优先结果提供了有关配置问题或代码缺陷的定制反馈，并提供了问题描述和解决建议。”

与此同时，英国和美国网络安全机构发布联合公告，详细说明了俄罗斯国家支持的行为者针对外交、国防、技术和金融部门收集外国情报并为未来的网络行动提供支持的企图。

此次活动被归咎于一个被追踪为APT29 的威胁行为者，该组织也被称为 BlueBravo、Cloaked Ursa、Cozy Bear 和 Midnight Blizzard。据了解，APT29 是俄罗斯军事情报机器中的关键一环，隶属于对外情报局 (SVR)。

“SVR 网络入侵高度重视保持匿名和不被发现。攻击者在整个入侵过程中广泛使用 TOR——从最初的目标锁定到数据收集——以及整个网络基础设施，”该机构表示。

“这些攻击者使用各种虚假身份和低信誉电子邮件账户来租赁运营基础设施。SVR 从主要托管服务提供商的经销商处获得基础设施。”

APT29 发起的攻击被归类为旨在收集情报和建立持久访问权限以促进供应链入侵的攻击（即意图目标），以及允许他们托管恶意基础设施或利用公开已知的缺陷、弱凭证或其他错误配置从受入侵账户进行后续操作的攻击（即机会目标）。

重点指出的一些重大安全漏洞包括CVE-2022-27924（Zimbra Collaboration 中的命令注入漏洞）和CVE-2023-42793（允许在 TeamCity Server 上执行远程代码的严重身份验证绕过漏洞）。

APT29 是一个相关的例子，威胁行为者不断创新他们的策略、技术和程序，试图保持隐秘并绕过防御，甚至会破坏他们的基础设施并抹去任何证据，以防怀疑他们的入侵被受害者或执法部门发现。

另一种值得注意的技术是广泛使用代理网络，包括移动电话提供商或住宅互联网服务，与位于北美的受害者进行互动并融入合法流量。

该机构表示：“为了阻止这种活动，组织应该对授权设备进行基准检查，并对不遵守基准的访问其网络资源的系统进行额外审查。”

GitLab 发布了社区版（CE）和企业版（EE）的安全更新，以解决八个安全漏洞，包括一个可能允许在任意分支上运行持续集成和持续交付（CI/CD）管道的严重漏洞。

该漏洞的编号为 CVE-2024-9164，CVSS 评分为 9.6（满分 10 分）。

GitLab在一份公告中表示： “GitLab EE 中发现一个问题，影响从 12.5 开始到 17.2.9 之前的所有版本、从 17.3 开始到 17.3.5 之前的所有版本以及从 17.4 开始到 17.4.2 之前的所有版本，该问题允许在任意分支上运行管道。”

在其余七个问题中，四个问题的严重程度评级为高，两个问题的严重程度评级为中等，一个问题的严重程度评级为低 -

CVE-2024-8970（CVSS 评分：8.2），允许攻击者在特定情况下以其他用户身份触发管道
CVE-2024-8977（CVSS 评分：8.2），允许在配置并启用产品分析仪表板的 GitLab EE 实例中发起 SSRF 攻击
CVE-2024-9631（CVSS 评分：7.5），导致查看有冲突的合并请求的差异时速度变慢
CVE-2024-6530（CVSS 评分：7.3），由于跨站点脚本问题，授权新应用程序时会导致 OAuth 页面中出现 HTML 注入
这份公告是 GitLab 近几个月来披露的一系列与管道相关的漏洞中最新的一个。

上个月，该公司解决了另一个严重漏洞（CVE-2024-6678，CVSS 评分：9.9），该漏洞可能允许攻击者以任意用户身份运行管道作业。

在此之前，它还修补了另外三个类似的缺陷——CVE -2023-5009（CVSS 分数：9.6）、CVE-2024-5655（CVSS 分数：9.6）和CVE-2024-6385（CVSS 分数：9.6）。

虽然没有证据表明有人主动利用该漏洞，但建议用户将其实例更新到最新版本以防范潜在威胁。