Die Schwachstelle betrifft GitLab in der Community- und Enterprise-Edition. Aufgrund eines Fehlers bei der Verarbeitung von Pfadangaben (Path Traversal) kann ein Angreifer aus Dateipfaden ausbrechen und beliebige Dateien auf dem Server auslesen – etwa Konfigurationsdateien oder Zugangsdaten. Voraussetzung ist lediglich, dass in einem öffentlich zugänglichen Projekt, das in einer mehrstufigen Gruppenhierarchie mit mindestens fünf Ebenen liegt, ein Anhang vorhanden ist. Der Angriff erfordert weder ein Benutzerkonto noch eine Anmeldung: Jeder, der die Instanz über das Netz erreicht, kann ihn ausführen. Besonders schwer wiegt das, weil GitLab-Server typischerweise Quellcode, Build-Geheimnisse und Zugriffstoken beherbergen; ausgelesene Informationen lassen sich für weiterführende Angriffe auf die Entwicklungsumgebung nutzen.