Multiples vulnérabilités affectant GitLab Community Edition (CE) et Enterprise Edition (EE)
Plusieurs vulnérabilités ont été découvertes dans GitLab CE et EE. Elles permettraient à un acteur malveillant de contourner des protections, de provoquer des dénis de service ou de compromettre des mécanismes de sécurité, avec un risque d'interruption de service et d'accès non autorisé aux comptes.
Description
Contexte technique et détails de la vulnérabilité
GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion de dépôts de code source, d'intégration et de déploiement continus (CI/CD) et de collaboration entre équipes de développement. Ces solutions sont affectées par plusieurs vulnérabilités libellées comme suit : CVE-2025-13927 : vulnérabilité due à une validation incorrecte des données d'authentification dans l'intégration Jira Connect. Un acteur malveillant non authentifié pourrait envoyer des requêtes spécialement conçues contenant des données d'authentification malformées et provoquer un déni de service (DoS) sur l'instance GitLab affectée. Elle est classée haute avec un score de sévérité de 7.5 selon le CVSS v3.1. CVE-2025-13928 : vulnérabilité due à une mauvaise gestion des permissions dans l'API. Elle permettrait à un acteur malveillant non authentifié d'envoyer des requêtes non autorisées et de provoquer un déni de service. Elle est classée haute avec un score de sévérité de 7.5 selon le CVSS v3.1. CVE-2026-0723 : vulnérabilité résultant d'un traitement incorrect des réponses de validation utilisées lors de la double authentification. Elle permettrait à un acteur malveillant disposant des identifiants d'un compte de contourner l'authentification à deux facteurs (2FA) en soumettant des réponses falsifiées. Elle est classée haute avec un score de sévérité de 7.4 selon le CVSS v3.1. CVE-2025-13335 : vulnérabilité causée par une boucle infinie dans les redirections du Wiki. Dans certaines conditions, un utilisateur authentifié pourrait configurer des documents Wiki malformés contournant la détection des cycles et provoquer un déni de service. Elle est classée moyenne avec un score de sévérité de 6.5 selon le CVSS v3.1. CVE-2026-1102 : vulnérabilité permettant à un acteur malveillant de provoquer un déni de service sur un système affecté en envoyant de manière répétée des requêtes de connexion SSH malformées. Elle est classée moyenne avec un score de sévérité de 5.3 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Compromission de comptes utilisateurs ;
- Atteinte à la confidentialité des données ;
- Atteinte à l'intégrité des données ;
- Déni de service.
Systèmes affectés
Produits, composants et versions concernés
- GitLab CE/EE versions antérieures à 18.6.4 ;
- GitLab CE/EE 18.7 versions antérieures à 18.7.2 ;
- GitLab CE/EE 18.8 versions antérieures à 18.8.2.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour les installations GitLab CE/EE vers les versions 18.6.4, 18.7.2 ou 18.8.2 ou supérieures ;
- Vérifier dans les journaux toute activité d'exploitation suspecte antérieure à la mise à jour.
Sources & Liens externes
Avis constructeurs et bulletins de référence
- https://about.gitlab.com/releases/2026/01/21/patch-release-gitlab-18-8-2-released/
- https://www.thehackerwire.com/vulnerability/CVE-2025-13927/
- https://www.thehackerwire.com/vulnerability/CVE-2026-0723/
- https://nvd.nist.gov/vuln/detail/CVE-2025-13928
- https://app.opencve.io/cve/CVE-2025-13335
- https://www.thehackerwire.com/vulnerability/CVE-2026-1102/
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.