GitLab : vulnérabilité critique CVE-2026-85706 exploitée dans les 24 heures

GitLab a divulgué CVE-2026-85706, une vulnérabilité de traversée de chemins affectant l'API des commits des dépôts, avec un score CVSS de 10.0. Un attaquant non authentifié peut envoyer une seule requête HTTP spécialement conçue afin de lire des fichiers arbitraires sur le serveur. Les données potentiellement exposées comprennent des clés SSH, des identifiants de base de données, des jetons de déploiement, des variables CI/CD et des configurations sensibles. watchTowr a observé des analyses et des tentatives d'exploitation sur Internet dans les 24 heures suivant la publication de l'avis, tandis que la CISA a ajouté la faille à son catalogue Known Exploited Vulnerabilities. Les organisations disposant d'instances GitLab auto-hébergées exposées à Internet doivent effectuer immédiatement la mise à jour, restreindre temporairement l'accès public et rechercher dans les journaux les requêtes POST suspectes visant l'API vulnérable.

Source : Security Affairs