Injection de code affectant GitLab CE/EE
Une vulnérabilité critique a été découverte dans GitLab CE/EE. Elle permettrait à un attaquant non authentifié de modifier ou de supprimer des projets publics ou des données utilisateurs sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion du cycle de vie DevOps permettant l'hébergement de dépôts de code source, la collaboration et l'intégration et le déploiement continus (CI/CD). Ces deux produits sont affectés par une vulnérabilité libellée CVE-2026-19478, permettant à un acteur malveillant non authentifié d'effectuer à distance des opérations critiques de modification et de suppression sur des projets publics et des données utilisateurs via une directive GraphQL. Elle est classée critique avec un score de sévérité de 9.4 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Atteinte à la disponibilité des données ;
- Atteinte à l'intégrité des données.
Systèmes affectés
Produits, composants et versions concernés
- Branche 18.2 et suivantes, versions antérieures à 18.11.11 ;
- Branche 19.0, versions antérieures à 19.0.8 ;
- Branche 19.1, versions antérieures à 19.1.6 ;
- Branche 19.2, versions antérieures à 19.2.4.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour GitLab CE/EE vers les versions 18.11.11, 19.0.8, 19.1.6, 19.2.4 ou supérieures.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.