CVE-2026-97229 — GitLab : exécution de code via expression régulière malveillante en CI/CD
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-97229 — GitLab
GitLab Community Edition et Enterprise Edition contiennent une vulnérabilité de dépassement d'entier dans le compilateur d'expressions régulières CI/CD permettant à un utilisateur non authentifié d'exécuter du code arbitraire via une expression régulière spécialement construite dans une configuration CI/CD, due à une validation insuffisante. Les versions 19.2 avant 19.2.8, 19.3 avant 19.3.5 et 19.4 avant 19.4.2 sont affectées.
- Éditeur
- GitLab
- Produit
- GitLab
- Publication
- 13/10/2026
- Gravité CVSS
- Critique
- Priorité
- Critique — exploitation connue
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Exploitation connue — CISA KEV
La faille
Le compilateur d'expressions régulières utilisé dans les configurations CI/CD de GitLab présente une validation insuffisante des expressions régulières permettant un dépassement d'entier.
Ce qu'elle permet à un attaquant
- Un utilisateur non authentifié peut exécuter du code arbitraire sur le serveur GitLab en envoyant une expression régulière spécialement construite via une configuration CI/CD.
Qui est concerné
GitLab Community Edition et Enterprise Edition versions 19.2 avant 19.2.8, 19.3 avant 19.3.5, et 19.4 avant 19.4.2.
| Produit | Versions |
|---|---|
| GitLab | 19.2 → < 19.2.8, 19.3 → < 19.3.5, 19.4 → < 19.4.2 |
État de l'exploitation
Cette vulnérabilité a été ajoutée au catalogue CISA des vulnérabilités connues comme exploitées le 29 octobre 2026.
Chronologie
- Publication de la vulnérabilité
- Ajout au catalogue CISA KEV
- Échéance fixée par la CISA aux agences fédérales américaines
Que faire
- Mettre à jour les versions affectées vers les versions 19.2.8, 19.3.5, 19.4.2 ou ultérieures.
Termes utiles
- CI/CD
- Intégration continue et déploiement continu, ensemble de pratiques et d'outils permettant d'automatiser les phases de compilation, test et déploiement d'applications.
- Dépassement d'entier
- Débordement arithmétique survenant lorsqu'une opération produit un résultat dépassant la plage représentable par le type de données entier, pouvant mener à un comportement imprévisible ou exploitable.