CVE-2026-110264
Publiée le 2026-10-22 · Dernière modification le 2026-10-22
Les éditions Community et Enterprise de GitLab, pour diverses versions allant de 7.0 à 19.5, sont concernées. Ce logiciel fournit un gestionnaire de dépôts Git et un pipeline CI/CD basés sur le web. La faille survient lors de la compilation d'expressions régulières, où un dépassement d'entier permet à un utilisateur de faire planter le processus ou de manipuler la mémoire.
Un attaquant distant peut exécuter du code arbitraire sur le serveur pour prendre le contrôle total du système, compromettant ainsi toutes les données et la disponibilité du service. Il s'agit d'un risque critique car cela ne nécessite aucune authentification ni interaction de l'utilisateur, et peut être déclenché via le réseau. L'attaque est techniquement simple à exécuter une fois qu'une expression spécialement conçue est soumise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue has been discovered in GitLab CE/EE affecting all versions from 7.0 before 18.11.13, 19.0 before 19.0.10, 19.1 before 19.1.9, 19.2 before 19.2.9, 19.3 before 19.3.6, 19.4 before 19.4.3, and 19.5 before 19.5.1 that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server due to integer overflow when compiling a specially crafted regular expression.