FICHE CVE

CVE-2026-12635

Publiée le 2026-06-25 · Dernière modification le 2026-06-26

🇫🇷 EN BREF

Les installations GitLab CE et EE sont affectées par un problème où une validation incorrecte des URL lors de la synchronisation des miroirs peut être exploitée. Un utilisateur authentifié disposant des permissions du rôle « maintainer » peut utiliser cette faille pour effectuer des requêtes vers des ressources réseau internes qui sont autrement inaccessibles depuis l'extérieur. Étant donné que cela nécessite des permissions spécifiques et une configuration complexe pour être exécuté, le risque pour la plupart des utilisateurs est faible.

CVSS 3.10.0 AUCUNE

Type de faiblesse

CWE-350

Publiée2026-06-25

Dernière modification2026-06-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 8.3 before 18.11.6, 19.0 before 19.0.3, and 19.1 before 19.1.1 that under certain conditions could have allowed an authenticated user with maintainer-role permissions to make requests to internal network resources through mirror synchronization due to improper URL validation.