← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités GitLab activement exploitées (KEV)

Les 6 vulnérabilités GitLab dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 1 utilisée par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-97229 — GitLab, Community Edition et Enterprise Edition : vulnérabilité de débordement ou de retour au zéro d'entier Critique

Produit : GitLab Community Edition and Enterprise Edition
Ajoutée au catalogue : 29 octobre 2026
Échéance CISA : 1 novembre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-190
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 28 %
Technologie : GitLab

GitLab Community Edition et Enterprise Edition contiennent une vulnérabilité de débordement ou de retour au zéro d'entier qui pourrait permettre à un utilisateur non authentifié d'exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement conçue dans une configuration CI/CD, en raison d'une validation insuffisante de l'expression régulière.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · docs.gitlab.com

Fiche détaillée : versions, références, chronologie →

Sur IP73 : CVE-2026-97229 : GitLab vulnérable à l’exécution de code sans authentification

CVE-2026-85706 — GitLab, Community Edition et Enterprise Edition : vulnérabilité de traversée de répertoires Critique

Produit : GitLab Community Edition and Enterprise Edition
Ajoutée au catalogue : 11 septembre 2026
Échéance CISA : 14 septembre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-35
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 97 %
Technologie : GitLab

GitLab Community Edition et Enterprise Edition contient une vulnérabilité de traversée de répertoires qui permet à un utilisateur non authentifié de lire des fichiers arbitraires en raison d'un confinement de chemin incorrect et de l'absence d'application de l'authentification dans l'API des commits de dépôt.

Références : NVD · CISA · docs.gitlab.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-22175 — GitLab : vulnérabilité de falsification de requêtes côté serveur (SSRF) Critique

Produit : GitLab GitLab
Ajoutée au catalogue : 18 février 2026
Échéance CISA : 11 mars 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-918
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 53 %
Technologie : GitLab

GitLab contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) lorsque les requêtes vers le réseau interne pour les webhooks sont activées.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · gitlab.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-39935 — GitLab, éditions Community et Enterprise : vulnérabilité de falsification de requêtes côté serveur (SSRF)

Produit : GitLab Community and Enterprise Editions
Ajoutée au catalogue : 3 février 2026
Échéance CISA : 24 février 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-918
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 36 %
Technologie : GitLab

GitLab Community and Enterprise Editions contiennent une vulnérabilité de falsification de requêtes côté serveur (SSRF) qui pourrait permettre à des utilisateurs externes non autorisés d'effectuer des requêtes côté serveur via l'API CI Lint.

Références : NVD · CISA · about.gitlab.com

CVE-2023-7028 — GitLab, éditions communautaire et entreprise : vulnérabilité de contrôle d'accès incorrect

Produit : GitLab GitLab CE/EE
Ajoutée au catalogue : 1 mai 2024
Échéance CISA : 22 mai 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-284
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 94 %
Technologie : GitLab

Les éditions communautaire et entreprise de gitlab contiennent une vulnérabilité de contrôle d'accès incorrect. cela permet à un attaquant de déclencher l'envoi d'e-mails de réinitialisation de mot de passe à une adresse e-mail non vérifiée afin de faciliter finalement une prise de contrôle de compte.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · about.gitlab.com

CVE-2021-22205 — GitLab, éditions Community et Enterprise : vulnérabilité d'exécution de code à distance Critique

Produit : GitLab Community and Enterprise Editions
Ajoutée au catalogue : 3 novembre 2021
Échéance CISA : 17 novembre 2021
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-20, CWE-95
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 100 %
Technologie : GitLab

Les éditions GitHub Community et Enterprise qui utilisent la capacité de téléverser des images via GitLab Workhorse sont vulnérables à une exécution de code à distance. workhorse transmet les extensions de fichiers image à exiftool, qui valide incorrectement les fichiers image.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

← Retour au suivi KEV · télécharger tout le catalogue (CSV)