GitLab corrige 10 failles dont une critique
Original : GitLab critical patch release
Pourquoi c'est important
Une faille critique non patchée sur un GitLab auto-hébergé expose l'ensemble du code source.
GitLab publie le 21 octobre 2026 sept versions correctives (19.5.1 à 18.11.13) pour CE et EE, couvrant 10 vulnérabilités dont une critique et deux de haute sévérité. Mise à jour immédiate recommandée.
GitLab a publié le 21 octobre 2026 un correctif d'urgence couvrant sept branches actives : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13, pour les éditions Community et Enterprise. Au total, dix vulnérabilités sont corrigées.
La faille la plus grave, classée Critique, concerne un dépassement d'entier dans le compilateur d'expressions régulières. Deux vulnérabilités Hautes sont également présentes : une authentification incorrecte dans le lien automatique OmniAuth vers LDAP via email, et un empoisonnement de cache sur les endpoints OAuth/OIDC. Parmi les failles Medium, on note un contrôle d'accès défaillant sur le champ d'adresse email des items GraphQL, une fuite de credentials dans les en-têtes internes, et un contournement d'autorisation dans l'API des jalons de groupe.
GitLab.com est déjà patché. Les tenants GitLab Dedicated tournant sur 19.3.5-internal0 ou 19.4.2-internal0 et versions ultérieures ne sont pas concernés. Les détails des failles seront rendus publics 90 jours après la publication, conformément à la politique de divulgation de GitLab.