CVE-2026-85706

📰 Source : BleepingComputer — Date : 12 octobre 2026 GitLab a publié un avis de sécurité urgent concernant CVE-2026-97229, une vulnérabilité de sévérité maximale (CVSS non précisé mais qualifié de critique) affectant le compilateur d’expressions régulières CI/CD de sa plateforme DevSecOps. 🔍 Nature de la vulnérabilité La faille est causée par un débordement d’entier (integer overflow) dans le moteur qui analyse, compile et évalue les expressions régulières dans les fichiers de configuration de pipelines CI/CD. Elle permet à un attaquant non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement forgée dans une configuration CI/CD, en raison d’une validation insuffisante. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-09-01 → 2026-10-01. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-85706 CVSS: 10.0 EPSS: 91.42% VLAI: N/A CISA: KEV ProduitGitLab — GitLab Publié2026-09-12T02:46:31.624Z GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.7 before 18.11.12, 19.0 before 19.0.9, 19.1 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that, under certain conditions, an unauthenticated user could have read arbitrary files from the GitLab server due to improper path confinement and missing authentication enforcement in the repository commits API. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-09-13 → 2026-09-20. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-85706 CVSS: 10.0 EPSS: 14.56% VLAI: High (confidence: 0.6312) CISA: KEV ProduitGitLab — GitLab Publié2026-09-12T02:46:31.624Z GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.7 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that, under certain conditions, an unauthenticated user could have read arbitrary files from the GitLab server due to improper path confinement and missing authentication enforcement in the repository commits API. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-09-06 → 2026-09-13. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2021-44228 CVSS: N/A EPSS: 100.00% VLAI: Critical (confidence: 0.9556) CISA: KEV ProduitApache Software Foundation — Apache Log4j2 Publié2021-12-10T00:00:00.000Z Apache Log4j2 2.0-beta9 through 2.15.0 (excluding security releases 2.12.2, 2.12.3, and 2.3.1) JNDI features used in configuration, log messages, and parameters do not protect against attacker controlled LDAP and other JNDI related endpoints. An attacker who can control log messages or log message parameters can execute arbitrary code loaded from LDAP servers when message lookup substitution is enabled. From log4j 2.15.0, this behavior has been disabled by default. From version 2.16.0 (along with 2.12.2, 2.12.3, and 2.3.1), this functionality has been completely removed. Note that this vulnerability is specific to log4j-core and does not affect log4net, log4cxx, or other Apache Logging Services projects. ...

📰 Source : BleepingComputer, publié le 11 septembre 2026 par Sergiu Gatlan. L’article couvre la divulgation et le correctif de deux vulnérabilités critiques affectant la plateforme GitLab. 🔴 Vulnérabilité principale — CVE-2026-85706 (sévérité maximale) Une faille de path traversal a été identifiée dans l’API repository commits de GitLab. Elle résulte d’un confinement de chemin inapproprié et d’une absence d’enforcement d’authentification. Des attaquants non authentifiés peuvent exploiter cette vulnérabilité pour lire des fichiers arbitraires sur les serveurs vulnérables « sous certaines conditions ». La faille a été découverte par le chercheur en sécurité opérant sous le pseudonyme s3ntago via le programme de bug bounty HackerOne de GitLab. ...