GitLab a publié mercredi des mises à jour de sécurité pour la Community Edition (CE) et l’Enterprise Edition (EE). Les versions concernées sont 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Ces versions apportent des corrections de bugs et éliminent 12 failles. Les branches plus anciennes 19.2.9, 19.1.9, 19.0.10 et 18.11.13 ne corrigent toutefois que la vulnérabilité critique.
CVE-2026-110264 reçoit une note CVSS de 10,0. Dans certaines conditions, un attaquant non authentifié peut provoquer un dépassement d’entier lors de la compilation d’expressions régulières spécialement préparées, puis exécuter du code arbitraire sur le serveur. Toutes les versions de GitLab à partir de 7.0 sont concernées. Aucune attaque n’a été signalée à ce jour.
Les 11 autres failles sont corrigées uniquement dans 19.3.6, 19.4.3 et 19.5.1. CVE-2026-15723 affiche un score CVSS de 8,2. Elle permet à un utilisateur authentifié de prendre le contrôle de comptes LDAP appartenant à d’autres personnes, sans action de leur part, lorsque OmniAuth-SAML et LDAP-Auto-Linking sont activés simultanément. CVE-2026-112212 obtient 7,5. Des attaquants non authentifiés peuvent modifier le document de découverte OAuth/OIDC dans un cache partagé et rediriger certains flux OAuth vers un serveur qu’ils contrôlent.
Cinq autres failles sont classées moyennes : CVE-2026-12664 avec un score CVSS de 6,8, CVE-2026-16255 avec 5,9, CVE-2026-105777 avec 4,3, CVE-2026-13319 avec 4,3 et CVE-2026-112378 avec 4,3. Quatre failles sont classées faibles : CVE-2026-105711, CVE-2026-14288, CVE-2026-112326 et CVE-2026-103515.
GitLab recommande une mise à jour immédiate de toutes les installations autogérées. Pour corriger les 12 failles, il faut passer à 19.3.6, 19.4.3 ou 19.5.1. GitLab.com utilise déjà une version corrigée. Les instances GitLab-Dedicated sont protégées à partir de 19.3.5-internal0 et de 19.4.2-internal0. GitLab fournit enfin deux règles de détection pour les installations autogérées, afin d’identifier les tentatives d’exploitation de la faille critique.
Commentaires
Pas encore de commentaire — écris le premier.
Lance la discussion
Pas de compte ni de mot de passe — saisis simplement ton adresse e-mail et nous t’envoyons un lien de connexion à usage unique. Première visite ? Tout se met en place automatiquement.
Ton évaluation sera appliquée automatiquement après ta connexion.
Vérifie ta boîte mail
Nous avons envoyé un lien de connexion à …. Ouvre-le sur cet appareil — cet onglet te connectera automatiquement.
Rien reçu ? Vérifiez le dossier spam — et marquez le message « Non spam » pour qu'il arrive directement la prochaine fois.