Multiples vulnérabilités affectant GitLab CE/EE

GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion du cycle de vie DevOps permettant l'hébergement de dépôts de code source, la collaboration et l'intégration et le déploiement continus (CI/CD). Ces solutions sont affectées par plusieurs vulnérabilités libellées comme suit : CVE-2026-85706 (CVSS 10.0) : lecture de fichiers arbitraires via l'API de validation des dépôts, due à une limitation incorrecte des chemins et à une absence de contrôle d'authentification. Son exploitation permettrait à un attaquant non authentifié de lire des fichiers arbitraires sur le serveur GitLab. CVE-2026-87719 (CVSS 9.9) : accès aux configurations de recherche avancée de l'instance et à des identifiants sensibles via le sérialiseur d'abonnements GraphQL, en raison d'une désérialisation non sécurisée. Son exploitation permettrait à un attaquant authentifié ayant accès à Duo Chat d'obtenir ces informations sensibles. CVE-2026-88765 (CVSS 8.5) : exécution de code à distance via l'enveloppe de conversion Unicode utilisée pour l'indexation de la recherche avancée, due à un débordement de tampon. Son exploitation permettrait à un attaquant authentifié d'exécuter du code à distance en important un export de projet Git spécialement conçu. CVE-2026-79708 (CVSS 8.5) : accès à des variables CI/CD protégées via l'exécution de tests de stratégie de pipeline, dû à une validation insuffisante du périmètre. Son exploitation permettrait à un attaquant authentifié disposant de droits de développeur d'accéder à des variables CI/CD protégées réservées à des rôles plus privilégiés. CVE-2026-78252 (CVSS 8.2) : exécution de requêtes HTTP de modification d'état non prévues via le moteur de rendu des tableaux Markdown JSON, due à un assainissement incorrect de données contrôlées par l'utilisateur. Son exploitation permettrait à un acteur malveillant authentifié de faire exécuter ces requêtes. CVE-2026-13210 (CVSS 7.7) : accès à des variables CI/CD hors du périmètre prévu via le modèle de correspondance des périmètres des environnements CI/CD, dû à une validation incorrecte des entrées. Son exploitation permettrait à un attaquant authentifié d'accéder à des variables CI/CD situées hors du périmètre de son environnement. CVE-2026-1168 (CVSS 7.5) : déni de service via la logique de calcul de complexité GraphQL, dû à des limites d'allocation de ressources inadaptées. Son exploitation permettrait à un acteur malveillant non authentifié de provoquer un déni de service affectant la disponibilité de l'instance GitLab. CVE-2026-12910 (CVSS 5.4) : contournement des restrictions de connexion SAML SSO via le mécanisme de restriction de connexion, dû à des contrôles insuffisants d'application de l'authentification. Son exploitation permettrait à un acteur malveillant authentifié de s'authentifier sans passer par le SSO. CVE-2026-82837 (CVSS 5.3) : accès à des identifiants et jetons sensibles via les points d'accès internes de délivrance de données de Workhorse, dû à des contrôles d'autorisation inadaptés. Son exploitation permettrait à un acteur malveillant d'accéder à ces informations sans passer par le proxy prévu. CVE-2026-19619 (CVSS 4.7) : exécution de code JavaScript arbitraire via l'éditeur de contenu, due à un assainissement inadapté du contenu HTML contrôlé par l'utilisateur. Son exploitation permettrait à un attaquant non authentifié d'exécuter du code JavaScript arbitraire dans le contexte de la session d'un utilisateur ciblé. CVE-2026-86341 (CVSS 4.4) : contournement des exigences d'approbation des déploiements d'environnements protégés via la modification d'une ressource protégée, dû à des contrôles d'accès incorrects appliqués après cette modification. Son exploitation permettrait à un attaquant authentifié disposant de privilèges de propriétaire ou de mainteneur d'autoriser des déploiements non approuvés en production. CVE-2026-86340 (CVSS 4.4) : contournement des approbations de déploiement requises via les règles de confiance des environnements protégés, dû à un contournement des mécanismes d'autorisation. Son exploitation permettrait à un attaquant authentifié de contourner les approbations requises en supprimant le groupe ou le compte utilisateur approbateur unique. CVE-2026-7514 (CVSS 4.3) : modification du contenu des fichiers de paquets via le registre générique de paquets, due à des contrôles d'autorisation incorrects. Son exploitation permettrait à un attaquant authentifié disposant de privilèges de développeur de modifier le contenu des fichiers de paquets et de masquer les paquets à leurs propriétaires. CVE-2026-8030 (CVSS 4.3) : blocage de la modification des paramètres de groupe via les transferts d'espaces de noms, dû à une validation incorrecte des identifiants d'URL des groupes. Son exploitation permettrait à un attaquant authentifié d'empêcher un autre utilisateur de modifier les paramètres de son groupe. CVE-2026-16794 (CVSS 4.3) : exécution de tâches CI/CD arbitraires et accès à des variables protégées via la gestion des cadres de conformité, dus à des contrôles d'autorisation inadaptés. Son exploitation permettrait à un attaquant authentifié disposant du rôle Security Officer d'exécuter des tâches CI/CD arbitraires et d'accéder à des variables protégées au sein des projets du groupe.

• GitLab CE/EE, versions antérieures à 19.1.8, 19.2.6 et 19.3.2 ;
• GitLab EE, versions antérieures à 19.1.8, 19.2.6 et 19.3.2 ;
• GitLab CE/EE, versions 18.4.6 à 19.1.8, 19.2 à 19.2.6 et 19.3 à 19.3.2.