GitLab corrige une vulnérabilité critique permettant la suppression de projets

Le 17 août, GitLab a publié un correctif important pour plusieurs versions afin de résoudre deux vulnérabilités découvertes. Ce correctif concerne les versions 19.2.4, 19.1.6, 19.0.8 et 18.11.11 et inclut particulièrement la vulnérabilité classée comme critique avec l'identifiant CVE-2026-19478.

La vulnérabilité a reçu une note CVSS de 9.4 et permettait à des attaquants non authentifiés de modifier ou de supprimer des projets accessibles au public ainsi que des informations utilisateur, sans qu'un compte utilisateur GitLab soit requis. Cela signifie que de telles attaques pouvaient potentiellement être menées sur des instances GitLab mal sécurisées sur Internet.

Selon des rapports, la vulnérabilité se trouvait dans l'API GraphQL de la plateforme, permettant aux attaquants d'accéder directement aux données et structures des environnements GitLab. Les développeurs de GitLab ont souligné dans leurs communications que la protection des projets et des données utilisateur est une priorité absolue et qu'ils continueront à travailler à l'amélioration de la sécurité de la plateforme.

Dans le paysage Internet russe, il existe plus de 9 300 services GitLab publics, dont certains pourraient avoir été touchés par cette vulnérabilité. Cet incident a également attiré l'attention dans les cercles de sécurité, soulignant la nécessité de mettre à jour rapidement les systèmes existants pour minimiser de telles opportunités d'attaques.

Les mesures prises par GitLab visent à garantir la protection des utilisateurs ainsi que l'intégrité des projets hébergés sur la plateforme, surtout compte tenu des dangers potentiels découlant de telles vulnérabilités.