Veille sécuritéBackend & données
P4Moyenne
Une application insuffisante des permissions à un champ GraphQL pouvait permettre à un utilisateur authentifié doté d’un jeton `read_api` de récupérer l’adresse e-mail entrante d’un projet et de créer des work items, au-delà des droits du jeton. Les versions antérieures à 19.3.6, 19.4.3 et 19.5.1 sont concernées dans les branches indiquées; mettre à niveau vers la version corrigée correspondant à sa branche.
GraphQL
IdentifiantCVE-2026-12664
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifGitLab CE/EE 19.3.6, 19.4.3 ou 19.5.1, selon la branche
Source : NVD — CVE-2026-12664
Analyse technique
Défaut d’application des restrictions de portée sur un champ GraphQL; l’exploitation nécessite un compte authentifié avec un jeton de portée read_api.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-22 à 01:16:59Z, soit 2026-10-22T03:16:59.070+02:00, dans la période retenue. La mise à jour NVD du 2026-10-23 est postérieure à la période et n’est pas retenue comme événement.
ImpactUn utilisateur authentifié disposant d’un jeton read_api pouvait accéder à une adresse e-mail entrante de projet et créer des work items malgré les restrictions du jeton.
Versions affectéesGitLab CE/EE : versions à partir de 18.2 et antérieures à 19.3.6, 19.4.3 ou 19.5.1, selon la branche
Version corrigéeGitLab CE/EE 19.3.6, 19.4.3 ou 19.5.1, selon la branche
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,25% · percentile 15,3%
Publication2026-10-22T03:16:59.070+02:00
Action recommandée
Mettre à niveau GitLab CE/EE vers la version corrigée correspondant à la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).