GitLab - CVE-2026-84739
Date de publication :
Il s'agit d'une vulnérabilité de type cross-site scripting (XSS) dans le visualiseur de diff des merge requests de GitLab CE/EE.
GitLab est une plateforme de développement logiciel qui regroupe la gestion de dépôts Git, la revue de code et l'intégration continue. Elle est proposée en éditions Community (CE) et Enterprise (EE), en installation auto-hébergée ou en service géré.
Le défaut vient d'une neutralisation insuffisante des composants de chemin affichés par le visualiseur. L'attaquant doit être un utilisateur authentifié. L'exploitation n'est possible que dans des conditions particulières, non détaillées par l'éditeur. Elle nécessite une interaction de l'utilisateur ciblé, qui consulte la page concernée. L'attaque est réalisable par le réseau, avec une complexité faible. Le périmètre de sécurité change, avec un impact élevé sur la confidentialité et l'intégrité d'après le vecteur CVSS.
Elle permet l'exécution de JavaScript arbitraire dans la session de navigateur d'un autre utilisateur.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Injection de code indirecte (à distance) (XSS)
Exploitation
CWE-79 : Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Oui
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• GitLab CE/EE branches 13.11 à 19.2 versions antérieures à 19.2.7
• GitLab CE/EE branche 19.3 versions antérieures à 19.3.3
• GitLab CE/EE branche 19.4 versions antérieures à 19.4.1
Solutions ou recommandations
• GitLab CE/EE branche 19.3 versions 19.3.3 et supérieures
• GitLab CE/EE branche 19.2 versions 19.2.7 et supérieures