GitLab Community Edition and Enterprise Edition Path Traversal Vulnerability
Appliquez les correctifs GitLab et révisez les droits d’accès et les règles d’authentification des endpoints sensibles.
- GitLab CE/EE
Cette vulnérabilité est inscrite au catalogue des vulnérabilités activement exploitées de la CISA. Traitement prioritaire recommandé.
Le contexte
GitLab CE/EE contient une vulnérabilité de path traversal permettant à un utilisateur non authentifié de lire des fichiers arbitraires via l’API commits du dépôt.
Vecteur d'attaque
API repository/commits sans confinement correct du chemin, accès non authentifié.
Systèmes impactés
| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | GitLab CE/EE | Versions antérieures à 19.1.8 ; Versions 19.2.x antérieures à 19.2.6 ; Versions 19.3.x antérieures à 19.3.2 | non communiquée |
Non affecté : voir l'avis de l'éditeur
Statut du correctif : Patchs et recommandations à suivre selon l’éditeur.
La vulnérabilité
CVE-2026-85706 : Path Traversal
GitLab · CVSS 10.0 · exploitation observée
GitLab CE/EE contient une vulnérabilité de path traversal dans l’API commits permettant à un utilisateur non authentifié de lire des fichiers arbitraires.
Impact : Exposition de fichiers internes potentiellement sensibles
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Recommandations
- Appliquez les patchs GitLab et restreignez les endpoints sensibles.
- Effectuez une revue des accès et activez la vérification d’authentification sur les endpoints critiques.
Ce qu'il faut retenir
Appliquez les correctifs GitLab et révisez les droits d’accès et les règles d’authentification des endpoints sensibles.
Analyse issue du bulletin de veille Kreomnis du 14 septembre 2026 (fenêtre : Récap du week-end, 11 – 13 septembre 2026). Sources croisées listées ci-dessous.
- Kreomnis Vigie
Références
- cert-fr CERT-FR — avis/alertes
- kev CISA — KEV