Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans GitLab

Gestion du document

Référence	CERTFR-2026-AVI-0357
Titre	Multiples vulnérabilités dans GitLab
Date de la première version	25 mars 2026
Date de la dernière version	25 mars 2026
Source(s)	Bulletin de sécurité GitLab du 25 mars 2026

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Contournement de la politique de sécurité
Déni de service à distance
Injection de code indirecte à distance (XSS)
Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

GitLab Community Edition (CE) et Gitlab Enterprise Edition (EE) versions 18.10.x antérieures à 18.10.1
GitLab Community Edition (CE) et Gitlab Enterprise Edition (EE) versions 18.9.x antérieures à 18.9.3
GitLab Community Edition (CE) et Gitlab Enterprise Edition (EE) versions antérieures à 18.8.7

Résumé

De multiples vulnérabilités ont été découvertes dans GitLab. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à l'intégrité des données et une injection de code indirecte à distance (XSS).

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 25 mars 2026
https://about.gitlab.com/releases/2026/03/25/patch-release-gitlab-18-10-1-released/
Référence CVE CVE-2025-13078
https://www.cve.org/CVERecord?id=CVE-2025-13078
Référence CVE CVE-2025-13436
https://www.cve.org/CVERecord?id=CVE-2025-13436
Référence CVE CVE-2025-14595
https://www.cve.org/CVERecord?id=CVE-2025-14595
Référence CVE CVE-2026-1724
https://www.cve.org/CVERecord?id=CVE-2026-1724
Référence CVE CVE-2026-2370
https://www.cve.org/CVERecord?id=CVE-2026-2370
Référence CVE CVE-2026-2726
https://www.cve.org/CVERecord?id=CVE-2026-2726
Référence CVE CVE-2026-2745
https://www.cve.org/CVERecord?id=CVE-2026-2745
Référence CVE CVE-2026-2973
https://www.cve.org/CVERecord?id=CVE-2026-2973
Référence CVE CVE-2026-2995
https://www.cve.org/CVERecord?id=CVE-2026-2995
Référence CVE CVE-2026-3857
https://www.cve.org/CVERecord?id=CVE-2026-3857
Référence CVE CVE-2026-3988
https://www.cve.org/CVERecord?id=CVE-2026-3988
Référence CVE CVE-2026-4363
https://www.cve.org/CVERecord?id=CVE-2026-4363

Gestion détaillée du document

Date	Description
25 mars 2026	Version initiale