Origine : bjCSIRT
Numéro : 2026/ALERTE/119
APERÇU :
De multiples vulnérabilités ont été découvertes dans GitLab, et permettraient à un acteur malveillant d’exécuter du code arbitraire à distance, de contourner les contrôles d’autorisation et d’accéder à des informations sensibles sur les systèmes affectés.
DESCRIPTION :
GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion de cycle de vie DevOps permettant l’hébergement de dépôts de code source, la collaboration et l’intégration/déploiement continus (CI/CD).
Ces solutions sont affectées par plusieurs vulnérabilités libellées comme suit :
CVE-2026-97229 (CVSS 10.0) : Exécution de code arbitraire sur le serveur via le compilateur d’expressions régulières CI/CD, due à un dépassement d’entier résultant d’une validation insuffisante des expressions régulières. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié d’exécuter du code arbitraire sur le serveur GitLab au moyen d’une expression régulière spécialement conçue placée dans une configuration CI/CD.
CVE-2026-92883 (CVSS 8.7) : Exécution de code JavaScript arbitraire dans le contexte de la session d’autres utilisateurs via la coloration syntaxique, due à une désinfection incorrecte des attributs HTML dans la sortie générée. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié d’exécuter ce code au moyen d’un dépôt spécialement conçu.
CVE-2026-16301 (CVSS 8.5) : Exécution de pipelines CI/CD sur des branches protégées via le service de création de pipelines en aval, due à des contrôles d’autorisation inappropriés. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié disposant du rôle de développeur d’exécuter ces pipelines sans autorisation.
CVE-2026-14814 (CVSS 8.2) : Empoisonnement des réponses mises en cache pour les fichiers bruts de dépôts via l’accès aux fichiers, dû à une validation incorrecte des références de dépôt. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant de faire exécuter un contenu spécialement conçu par les pipelines CI/CD d’utilisateurs ciblés et d’exposer des variables d’environnement protégées.
CVE-2026-81839 (CVSS 7.7) : Exécution de pipelines CI/CD arbitraires dans un projet transféré avec les privilèges du nouveau groupe, due à un nettoyage incorrect des enregistrements de la politique d’exécution planifiée de pipelines. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié d’exécuter ces pipelines.
CVE-2026-96893 (CVSS 7.3) : Injection de contenu spécialement conçu dans les instructions des agents d’intelligence artificielle de GitLab Duo Agent Platform, due à une neutralisation incorrecte des éléments spéciaux lors de la construction du contexte de conversation. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié de provoquer l’exécution de commandes non prévues, attribuée à d’autres utilisateurs.
CVE-2026-101168 (CVSS 6.2) : Accès à des jetons d’accès et à d’autres secrets via les journaux de GitLab Pages, dû à l’insertion de données de requête sensibles dans les fichiers de journalisation et les événements de suivi d’erreurs. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié disposant d’un accès à ces journaux d’obtenir ces informations.
CVE-2026-7767 (CVSS 5.8) : Transmission de jetons d’authentification sensibles vers un serveur non prévu via le proxy Kubernetes, due à une validation incorrecte des redirections. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié contrôlant un agent Kubernetes de provoquer cette transmission.
CVE-2026-16275 (CVSS 5.3) : Lecture de notes confidentielles sur des projets publics via le composant de notes de l’API GraphQL, due à des contrôles d’autorisation incorrects. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié de lire ces notes.
CVE-2026-84284 (CVSS 5.3) : Lecture du contenu d’éléments de travail appartenant à des groupes et projets privés via la hiérarchie des éléments de travail de l’API GraphQL, due à des contrôles d’autorisation incorrects. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié de lire ce contenu.
CVE-2026-100755 (CVSS 4.6) : Empoisonnement du contenu de pages mises en cache et servi à d’autres utilisateurs via les demandes de fusion, dû à une construction incorrecte de la clé de cache. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié de provoquer cet empoisonnement sous certaines configurations de déploiement.
CVE-2026-14552 (CVSS 4.3) : Lecture du contenu d’épopées confidentielles devant être restreintes par une autorisation externe via l’API GraphQL des éléments de travail, due à des contrôles d’autorisation incorrects. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié disposant d’un accès invité de lire ce contenu.
CVE-2026-6567 (CVSS 4.3) : Accès à des rapports d’artefacts CI restreints via le point de terminaison de comparaison des rapports d’accessibilité des demandes de fusion, dû à une absence de contrôles d’autorisation. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié disposant du rôle de rapporteur d’accéder à ce contenu.
CVE-2026-104661 (CVSS 4.3) : Configuration et exécution d’un pipeline de conformité spécialement conçu dans les projets d’un groupe via les rôles personnalisés, dues à une attribution de privilèges inappropriée. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié disposant d’un rôle personnalisé avec les permissions d’administration du cadre de conformité de procéder à cette exécution.
CVE-2026-105458 (CVSS 4.3) : Obtention d’un jeton GitLab Duo Agent Platform contournant les contrôles de gouvernance, due à la confiance accordée à une entrée non vérifiée dans une décision de sécurité. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant authentifié disposant d’une permission granulaire spécifique d’obtenir ce jeton.
IMPACT
- Exécution de code arbitraire à distance ;
- Élévation de privilèges ;
- Contournement des contrôles d’autorisation et des politiques de gouvernance ;
- Atteinte à la confidentialité des données, des jetons d’accès et des secrets ;
- Atteinte à l’intégrité du système et des données ;
- Atteinte à la disponibilité des données.
SYSTEMES AFFECTÉS
- GitLab CE/EE, les versions antérieures à 19.2.8, les versions 19.3 antérieures à 19.3.4 et les versions 19.4 antérieures à 19.4.2 ;
- GitLab EE, les versions antérieures à 19.2.8, les versions 19.3 antérieures à 19.3.4 et les versions 19.4 antérieures à 19.4.2.
MESURES À PRENDRE :
- Mettre à niveau GitLab CE/EE vers les versions corrigées 19.4.2, 19.3.4 ou 19.2.8, selon la branche utilisée ;
- Planifier une interruption de service pour les instances à nœud unique, le correctif embarquant des migrations de base de données ;
- Appliquer les procédures de mise à niveau sans interruption de service pour les instances multi-nœuds ;
- Révoquer et renouveler les jetons d’accès et secrets susceptibles d’avoir été exposés dans les journaux de GitLab Pages ;
- Mettre à jour GitLab Runner vers une version compatible.
RÉFÉRENCES :
- https://gitlab.com/gitlab-org/cves/-/tree/master/2026?ref_type=heads