Multiples vulnérabilités affectant GitLab CE/EE
Plusieurs vulnérabilités ont été découvertes dans GitLab CE/EE. Elles permettraient à un acteur malveillant de compromettre des comptes utilisateurs, d'exécuter du code côté client dans le navigateur d'une victime et de provoquer un déni de service à distance.
Description
Contexte technique et détails de la vulnérabilité
GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion du cycle de vie DevOps permettant l'hébergement de dépôts de code source, la collaboration et l'intégration et le déploiement continus (CI/CD). Ces solutions sont affectées par plusieurs vulnérabilités libellées comme suit : CVE-2026-6552 : vulnérabilité due à un contrôle d'autorisation insuffisant dans le mécanisme de gestion des identités SAML de groupe. Son exploitation permettrait à un attaquant authentifié disposant du rôle de propriétaire de groupe (Group Owner) de prendre le contrôle du compte d'un autre membre du même groupe. Elle est classée haute avec un score de sévérité de 8.7 selon le CVSS v3.1. CVE-2026-10087 : vulnérabilité résultant d'une validation insuffisante des entrées utilisateur dans le composant Analytics Dashboard. Son exploitation permettrait à un attaquant authentifié disposant de privilèges de développeur d'exécuter du code JavaScript dans le navigateur d'un utilisateur. Elle est classée haute avec un score de sévérité de 8.7 selon le CVSS v3.1. CVE-2026-7250 : vulnérabilité causée par une validation insuffisante des entrées dans le middleware chargé d'analyser les requêtes API. Son exploitation permettrait à un acteur malveillant non authentifié de provoquer un déni de service affectant la disponibilité de l'instance. Elle est classée haute avec un score de sévérité de 7.5 selon le CVSS v3.1. CVE-2026-8589 : vulnérabilité résultant d'une neutralisation insuffisante des données fournies par l'utilisateur dans certains champs de configuration des groupes, permettant l'injection de contenu HTML malveillant (injection HTML via XSS). Son exploitation permettrait à un attaquant authentifié d'associer des adresses électroniques non autorisées au compte d'un utilisateur ciblé. Elle est classée haute avec un score de sévérité de 7.3 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Compromission de comptes utilisateurs ;
- Exécution de code JavaScript arbitraire dans le navigateur d'une victime ;
- Déni de service ;
- Modification non autorisée des informations associées aux comptes utilisateurs ;
- Atteinte à la confidentialité et à l'intégrité des données.
Systèmes affectés
Produits, composants et versions concernés
- CVE-2026-6552 : GitLab EE versions 15.5 à 18.10.7, 18.11 à 18.11.4 et 19.0 à 19.0.1 ;
- CVE-2026-10087 : GitLab EE versions 17.1 à 18.10.7, 18.11 à 18.11.4 et 19.0 à 19.0.1 ;
- CVE-2026-7250 : GitLab CE/EE versions 12.10 à 18.10.7, 18.11 à 18.11.4 et 19.0 à 19.0.1 ;
- CVE-2026-8589 : GitLab EE versions 13.1.4 à 18.10.7, 18.11 à 18.11.4 et 19.0 à 19.0.1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour GitLab CE/EE vers la dernière version stable de la branche déployée ;
- Veiller à l'application du principe du moindre privilège ;
- Examiner les journaux d'audit afin de détecter toute modification anormale des comptes, des identités SAML et des paramètres de groupe.
Sources & Liens externes
Avis constructeurs et bulletins de référence
- https://about.gitlab.com/releases/2026/06/10/patch-release-gitlab-19-0-2-released/
- https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-0-2-released/
- https://nvd.nist.gov/vuln/detail/CVE-2026-6552
- https://nvd.nist.gov/vuln/detail/CVE-2026-10087
- https://nvd.nist.gov/vuln/detail/CVE-2026-7250
- https://nvd.nist.gov/vuln/detail/CVE-2026-8589
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.