GitLab - CVE-2026-79708

Il s'agit d'une vulnérabilité dans la fonctionnalité de test des politiques d'exécution de pipeline planifiée de GitLab EE.

GitLab est une plateforme DevOps qui héberge des dépôts Git et qui intègre la gestion de projet, l'intégration continue et le déploiement continu. L'édition Enterprise ajoute des fonctionnalités de sécurité, de conformité et de gouvernance destinées aux organisations, dont la gestion de politiques de sécurité CI/CD et de variables protégées.

Cette fonctionnalité permet à un utilisateur de déclencher un pipeline de test pour vérifier le comportement d'une politique de sécurité avant son application effective sur les projets d'un groupe. GitLab restreint normalement l'accès aux variables CI/CD protégées aux seuls rôles à privilèges élevés, généralement liés aux branches ou étiquettes protégées d'un projet. Le contrôle de portée appliqué lors du déclenchement d'un pipeline de test reste toutefois insuffisant. Il ne vérifie pas correctement que le contexte d'exécution de ce pipeline de test respecte les mêmes restrictions qu'un pipeline standard. Un utilisateur authentifié qui ne dispose que du rôle Developer peut ainsi déclencher un pipeline de test sur un projet de son groupe. Ce pipeline s'exécute alors avec un accès aux variables CI/CD protégées, normalement réservées à des rôles à privilèges supérieurs.

Elle permet à un utilisateur authentifié qui ne dispose que des permissions Developer de récupérer des variables CI/CD protégées, telles que des identifiants ou des jetons de déploiement, normalement réservées à des rôles à privilèges plus élevés.