Die Schwachstelle betrifft die Enterprise-Ausgabe von GitLab (GitLab EE). Ursache ist eine unzureichende Bereinigung von Eingaben, die ein Benutzer selbst bereitstellen kann. Dadurch lässt sich Schadcode einschleusen, der später im Browser eines anderen Benutzers ausgeführt wird – ein klassischer Fall von clientseitiger Code-Ausführung im Kontext einer fremden Sitzung. Für den Angriff genügt ein angemeldetes Konto mit Entwicklerrechten (Developer-Rolle); es ist also keine administrative Berechtigung nötig, sondern lediglich ein Zugang, wie er in Projekten weit verbreitet vergeben wird. Gelingt der Angriff, wird der eingeschleuste Code im Sitzungskontext des Opfers ausgeführt. Der Angreifer kann damit im Namen des betroffenen Benutzers agieren, etwa dessen Aktionen in der Oberfläche auslösen oder auf Sitzungsdaten zugreifen. Betroffen sind Umgebungen, in denen Benutzer mit Entwicklerrechten Inhalte einstellen können, die anderen Anwendern angezeigt werden.