if ( !emtpy($headline_subheadline ) ) : ?>
La faille critique pourrait permettre à des attaquants non authentifiés d’exécuter du code sur les serveurs GitLab, tandis que d’autres impliquaient la sécurité des pipelines, l’accès au référentiel et l’injection d’instructions d’agent IA.
endif; ?>
GitLab vient de corriger une vulnérabilité de gravité maximale qui pourrait permettre à des attaquants non authentifiés d’exécuter du code arbitraire sur ses serveurs. La société a publié lundi un correctif, ainsi que des correctifs pour cinq autres failles de haute gravité affectant sa plate-forme de gestion du code source et d’intégration et de livraison continues (CI/CD).
La vulnérabilité, identifiée comme CVE-2026-97229, a été corrigée dans les versions 19.4.2, 19.3.5 et 19.2.8 de ses éditions Community Edition (CE) et Enterprise Edition (EE), selon un avis de correctif.
La société a exhorté les administrateurs des installations autogérées exécutant les versions concernées à effectuer une mise à niveau immédiate. GitLab.com exécute déjà la version corrigée, tandis que les clients GitLab Dedicated n’ont pas besoin de prendre de mesures, a indiqué la société dans l’avis.
La version corrige également des vulnérabilités qui pourraient exposer des variables d’environnement protégées, permettre l’exécution non autorisée de pipelines et permettre aux attaquants d’injecter du contenu contrefait dans les instructions de l’agent IA. Les correctifs couvrent à la fois CE et EE, certains problèmes affectant uniquement l’édition Enterprise.
« Lorsqu’aucun type de déploiement spécifique (omnibus, code source, chart Helm, etc.) d’un produit n’est mentionné, cela signifie que tous les types sont concernés », a ajouté GitLab.
Une faille critique d’expression régulière pourrait permettre l’exécution de code non authentifié
GitLab a décrit CVE-2026-97229 comme un problème de dépassement d’entier dans le compilateur d’expressions régulières CI/CD de la plateforme. Dans certaines conditions, une validation insuffisante des expressions régulières aurait pu permettre à un attaquant non authentifié d’exécuter du code arbitraire sur le serveur GitLab en fournissant une expression régulière spécialement conçue dans une configuration CI/CD.
La vulnérabilité affecte les versions GitLab CE et EE 19.2 avant 19.2.8, 19.3 avant 19.3.5 et 19.4 avant 19.4.2. Il présente un score CVSS maximum de 10,0 pour permettre potentiellement l’exécution de code à distance sans authentification, avec des impacts sur la confidentialité, l’intégrité et la disponibilité au-delà des limites de sécurité.
GitLab a remercié le chercheur Johan Carlsson d’avoir signalé la faille via son programme de bug bounty HackerOne.
Autorisations de pipeline et agents IA dans la ligne de mire
Parmi les cinq vulnérabilités de haute gravité, CVE-2026-92883 pourrait permettre à un utilisateur authentifié d’exécuter du JavaScript arbitraire dans les sessions de navigateur d’autres utilisateurs via un référentiel spécialement conçu. La faille de script intersite résulte d’une mauvaise désinfection des attributs HTML dans la sortie avec la syntaxe mise en évidence et porte un score CVSS de 8,7.
Deux autres failles visent la sécurité des pipelines. CVE-2026-16301 (CVSS 8.5) aurait pu permettre aux utilisateurs ayant le rôle de développeur d’exécuter des pipelines CI/CD sur des branches protégées sans autorisation. CVE-2026-14814 (CVSS 8.2) a potentiellement permis aux attaquants d’empoisonner les réponses mises en cache pour les fichiers bruts du référentiel, ce qui a potentiellement amené les pipelines ciblés à exécuter du contenu malveillant et à accéder à des variables d’environnement protégées.
Les problèmes restants affectent l’exécution planifiée du pipeline et GitLab Duo. CVE-2026-81839 (CVSS 7.7) aurait pu permettre aux utilisateurs authentifiés d’exécuter des pipelines arbitraires dans un projet transféré avec les privilèges du nouveau groupe. Un autre, CVE-2026-96893 (CVSS 7.3), aurait pu permettre à un utilisateur authentifié d’injecter du contenu contrefait dans les instructions de l’agent IA, provoquant potentiellement l’exécution involontaire de commandes attribuées à d’autres utilisateurs.
GitLab a annoncé son intention de rendre publics les détails des problèmes de vulnérabilité 90 jours après la version dans laquelle ils ont été corrigés. Les administrateurs doivent donc donner la priorité aux mises à jour de sécurité applicables plutôt que d’attendre de nouvelles informations techniques. La version corrige également plusieurs vulnérabilités de gravité faible à moyenne affectant les pages GitLab, le proxy Kubernetes, les API GraphQL, les demandes de fusion, les rôles personnalisés, le registre des packages et les fonctions d’importation de référentiels et de projets.
