Multiples vulnérabilités affectant GitLab CE et EE
Plusieurs vulnérabilités ont été découvertes dans GitLab CE et EE. Elles permettraient à un acteur malveillant de provoquer un déni de service ou d'invoquer des méthodes côté serveur sans autorisation.
Description
Contexte technique et détails de la vulnérabilité
GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion du cycle de vie DevOps permettant l'hébergement de dépôts de code source, la collaboration et l'intégration et le déploiement continus (CI/CD). Ces solutions sont affectées par plusieurs vulnérabilités libellées comme suit : CVE-2026-5173 : vulnérabilité résultant d'un contrôle d'accès incorrect au sein des connexions WebSocket. Son exploitation pourrait permettre à un attaquant authentifié d'invoquer des méthodes côté serveur non prévues, pouvant conduire à des actions non autorisées sur l'instance. Elle est classée haute avec un score de sévérité de 8.5 selon le CVSS v3.1. CVE-2026-1092 : vulnérabilité résultant d'une validation insuffisante des entrées lors du traitement de données JSON. Son exploitation permettrait à un acteur malveillant non authentifié de provoquer un déni de service (DoS) du système affecté. Elle est classée haute avec un score de sévérité de 7.5 selon le CVSS v3.1. CVE-2025-12664 : vulnérabilité causée par un traitement incorrect de requêtes GraphQL répétées. Son exploitation permettrait à un acteur malveillant non authentifié de saturer les ressources du serveur afin de provoquer un déni de service. Elle est classée haute avec un score de sévérité de 7.5 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Atteinte à l'intégrité des processus serveur par l'appel de méthodes non autorisées ;
- Atteinte à la disponibilité des services de développement et de production.
Systèmes affectés
Produits, composants et versions concernés
- CVE-2026-5173 : GitLab CE/EE versions 16.9.6 à 18.8.8, 18.9 à 18.9.4 et 18.10 à 18.10.2 ;
- CVE-2026-1092 : GitLab CE/EE versions 12.10 à 18.8.8, 18.9 à 18.9.4 et 18.10 à 18.10.2 ;
- CVE-2025-12664 : GitLab CE/EE versions 13.0 à 18.8.8, 18.9 à 18.9.4 et 18.10 à 18.10.2.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour GitLab CE/EE vers la dernière version stable de la branche utilisée.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.