Faille du 29 octobre 2026 · CVE-2026-97229

GitLab Dépassement d’entier

10,0 CVSS · critiqueExploitée

Dépassement d’entier dans GitLab. Exploitable à distance par le réseau, sans authentification, sans action de l’utilisateur. CVSS 10,0 (gravité critique). Selon la CISA, elle est déjà exploitée. Corrigée dans 19.2.8, 19.3.5 et 19.4.2.

Avis de sécurité de l’éditeur

docs.gitlab.com · Les informations de l’éditeur font foi.

En bref

CVE

CVE-2026-97229

Produit

GitLab

Éditeur

GitLab

Versions concernées

≥ 19.2, < 19.2.8
≥ 19.3, < 19.3.5
≥ 19.4, < 19.4.2

selon l’éditeur ou l’émetteur de la CVE

Corrigé dans

19.2.8, 19.3.5, 19.4.2

CVSS

10,0 (critique)
CVSS 3.1, évalué par l’émetteur de la CVE
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Exploitée

Oui, selon la CISA (dans le catalogue KEV depuis le 29 octobre 2026)

Type de faille

CWE-190 (Dépassement d’entier)

Publiée le

13 octobre 2026

Modifiée le

31 octobre 2026

Que faire ?

Mettre à jour vers une version corrigée : 19.2.8, 19.3.5 et 19.4.2 ou plus récente, selon la branche utilisée.
Lire l’avis de l’éditeur : il précise les versions exactes et, le cas échéant, des contournements si la mise à jour ne peut pas être faite tout de suite.
La faille étant déjà exploitée : après la mise à jour, vérifier que le système n’a pas été compromis auparavant.
Vérifier aussi les installations de test, de préproduction et celles oubliées du même logiciel.

Avis de sécurité de l’éditeur ↗

Description originale

En anglais, issue de la fiche CVE. Le résumé ci-dessus est établi à partir des données structurées.

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation.
Intitulé à la CISA : GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability

Références officielles

docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-releasedNotes de versionAvis de l’éditeur
gitlab.com/gitlab-org/gitlab/-/work_items/630686Lien cassé
hackerone.com/reports/4055749Permissions Required
hackerone.com/reports/4058589Permissions Required
cisa.gov/known-exploited-vulnerabilities-catalogAdministration US
github.com/rapid7/metasploit-framework/pull/22017
ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves

Sources

Données de la NVD (NIST) et du catalogue KEV de la CISA, récupérées le 1er novembre 2026. Ce site utilise des données de l’API de la NVD sans être approuvé ni certifié par la NVD. Informations fournies sans garantie.

Fiche NVD ↗Fiche CVE.org ↗Catalogue KEV de la CISA ↗

Quelles versions de logiciels votre site laisse-t-il voir ? Le test de sécurité gratuit le vérifie.

Tester gratuitement