critique
CVE-2026-89078
ruby: double free issue in regular expression parser
Dans la Trivy database depuis au moins le 24 oct. 2026, 07:11 UTCLa date d'entrée avant ce build n'est pas enregistrée.
Sévérité par source
Red Hat9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Bitnami9.9CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
Le label propre à Trivy est CRITICAL. Critique selon Red Hat, Bitnami.
Description
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before 19.2.7, 19.3 before 19.3.3, and 19.4 before 19.4.1 that under certain conditions could have allowed an authenticated user to execute arbitrary code on the GitLab server due to a double free issue when parsing a specially crafted regular expression in a CI/CD configuration.
Paquets affectés et versions corrigées
| Source | Paquet | Corrigé en |
|---|---|---|
| bitnami::Bitnami Vulnerability Database | gitlab | 19.2.7, 19.3.3, 19.4.1 |
| alpine 3.21 | ruby | 3.3.13-r0 |
| alpine 3.22 | ruby | 3.4.12-r0 |
| alpine 3.23 | ruby | 3.4.12-r0 |
| alpine 3.24 | ruby | 3.4.12-r0 |
| alpine edge | ruby | 3.4.12-r0 |
| chainguard | gitlab-runner-19.2, gitlab-runner-fips-19.2 | 19.2.6-r1 |
| debian 12 | ruby3.1 | pas de correctif indiqué |
| debian 13 | ruby3.3 | pas de correctif indiqué |
| debian 14 | ruby3.3 | pas de correctif indiqué |
| echo | ruby3.1, ruby3.3 | pas de correctif indiqué |
| minimos | gitlab-cng-19.2, gitlab-cng-19.3, gitlab-cng-19.4 et 10 autres | 19.2.7-r0 et 2 autres |
Afficher les 189 entrées de 26 sources
| Source | Paquet | Corrigé en |
|---|---|---|
| bitnami::Bitnami Vulnerability Database | gitlab | 19.2.7, 19.3.3, 19.4.1 |
| alpine 3.21 | ruby | 3.3.13-r0 |
| alpine 3.22 | ruby | 3.4.12-r0 |
| alpine 3.23 | ruby | 3.4.12-r0 |
| alpine 3.24 | ruby | 3.4.12-r0 |
| alpine edge | ruby | 3.4.12-r0 |
| chainguard | gitlab-runner-19.2 | 19.2.6-r1 |
| chainguard | gitlab-runner-fips-19.2 | 19.2.6-r1 |
| debian 12 | ruby3.1 | pas de correctif indiqué |
| debian 13 | ruby3.3 | pas de correctif indiqué |
| debian 14 | ruby3.3 | pas de correctif indiqué |
| echo | ruby3.1 | pas de correctif indiqué |
| echo | ruby3.3 | pas de correctif indiqué |
| minimos | gitlab-cng-19.2 | 19.2.7-r0 |
| minimos | gitlab-cng-19.3 | 19.3.3-r0 |
| minimos | gitlab-cng-19.4 | 19.4.1-r0 |
| minimos | gitlab-cng-fips-19.2 | 19.2.7-r0 |
| minimos | gitlab-cng-fips-19.3 | 19.3.3-r0 |
| minimos | gitlab-cng-fips-19.4 | 19.4.1-r0 |
| minimos | gitlab-rails-19.2 | 19.2.7-r0 |
| minimos | gitlab-rails-19.3 | 19.3.3-r0 |
| minimos | gitlab-rails-19.4 | 19.4.1-r0 |
| minimos | gitlab-runner-19.3 | 19.3.3-r0 |
| minimos | gitlab-runner-19.4 | 19.4.1-r0 |
| minimos | gitlab-runner-fips-19.3 | 19.3.3-r0 |
| minimos | gitlab-runner-fips-19.4 | 19.4.1-r0 |
| rapidfort alma 10 | ruby | pas de correctif indiqué |
| rapidfort alma 10 | ruby-bundled-gems | pas de correctif indiqué |
| rapidfort alma 10 | ruby-default-gems | pas de correctif indiqué |
| rapidfort alma 10 | ruby-devel | pas de correctif indiqué |
| rapidfort alma 10 | ruby-doc | pas de correctif indiqué |
| rapidfort alma 10 | ruby-libs | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-bigdecimal | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-bundler | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-io-console | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-irb | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-json | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-minitest | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-power_assert | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-psych | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-racc | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-rake | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-rbs | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-rdoc | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-rexml | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-rss | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-test-unit | pas de correctif indiqué |
| rapidfort alma 10 | rubygem-typeprof | pas de correctif indiqué |
| rapidfort alma 10 | rubygems | pas de correctif indiqué |
| rapidfort alma 10 | rubygems-devel | pas de correctif indiqué |
| rapidfort alma 9 | ruby | pas de correctif indiqué |
| rapidfort alma 9 | ruby-default-gems | pas de correctif indiqué |
| rapidfort alma 9 | ruby-devel | pas de correctif indiqué |
| rapidfort alma 9 | ruby-doc | pas de correctif indiqué |
| rapidfort alma 9 | ruby-libs | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-bigdecimal | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-bundler | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-io-console | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-irb | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-json | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-minitest | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-power_assert | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-psych | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-rake | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-rbs | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-rdoc | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-rexml | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-rss | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-test-unit | pas de correctif indiqué |
| rapidfort alma 9 | rubygem-typeprof | pas de correctif indiqué |
| rapidfort alma 9 | rubygems | pas de correctif indiqué |
| rapidfort alma 9 | rubygems-devel | pas de correctif indiqué |
| rapidfort amazon linux 2023 | ruby3.2 | pas de correctif indiqué |
| rapidfort amazon linux 2023 | ruby3.4 | pas de correctif indiqué |
| rapidfort debian | rf-ruby3.3 | pas de correctif indiqué |
| rapidfort debian 12 | rf-ruby3.3 | pas de correctif indiqué |
| rapidfort debian 12 | ruby3.1 | 0:3.1.2-8.4 |
| rapidfort debian 12 | ruby3.3 | pas de correctif indiqué |
| rapidfort debian 13 | rf-ruby3.3 | pas de correctif indiqué |
| rapidfort debian 13 | ruby3.1 | 0:3.1.2-8.4 |
| rapidfort debian 13 | ruby3.3 | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | ruby | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | ruby-bundled-gems | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | ruby-default-gems | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | ruby-devel | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | ruby-libs | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-bigdecimal | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-bundler | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-io-console | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-irb | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-json | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-minitest | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-power_assert | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-psych | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-racc | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-rake | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-rbs | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-rdoc | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-rexml | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-rss | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-test-unit | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygem-typeprof | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygems | pas de correctif indiqué |
| rapidfort Oracle Linux 10 | rubygems-devel | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | ruby | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | ruby-default-gems | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | ruby-devel | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | ruby-libs | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-bigdecimal | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-bundler | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-io-console | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-irb | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-json | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-minitest | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-power_assert | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-psych | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-rake | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-rbs | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-rdoc | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-rexml | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-rss | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-test-unit | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygem-typeprof | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygems | pas de correctif indiqué |
| rapidfort Oracle Linux 9 | rubygems-devel | pas de correctif indiqué |
| rapidfort Red Hat 10 | ruby | pas de correctif indiqué |
| rapidfort Red Hat 10 | ruby-bundled-gems | pas de correctif indiqué |
| rapidfort Red Hat 10 | ruby-default-gems | pas de correctif indiqué |
| rapidfort Red Hat 10 | ruby-devel | pas de correctif indiqué |
| rapidfort Red Hat 10 | ruby-libs | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-bigdecimal | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-bundler | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-io-console | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-irb | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-json | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-minitest | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-power_assert | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-psych | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-rake | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-rbs | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-rdoc | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-rexml | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-rss | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-test-unit | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygem-typeprof | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygems | pas de correctif indiqué |
| rapidfort Red Hat 10 | rubygems-devel | pas de correctif indiqué |
| rapidfort Red Hat 9 | ruby | pas de correctif indiqué |
| rapidfort Red Hat 9 | ruby-default-gems | pas de correctif indiqué |
| rapidfort Red Hat 9 | ruby-devel | pas de correctif indiqué |
| rapidfort Red Hat 9 | ruby-libs | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-bigdecimal | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-bundler | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-io-console | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-irb | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-json | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-minitest | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-power_assert | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-psych | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-rake | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-rbs | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-rdoc | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-rexml | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-rss | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-test-unit | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygem-typeprof | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygems | pas de correctif indiqué |
| rapidfort Red Hat 9 | rubygems-devel | pas de correctif indiqué |
| rapidfort rocky 10 | ruby | pas de correctif indiqué |
| rapidfort rocky 10 | ruby-devel | pas de correctif indiqué |
| rapidfort rocky 10 | ruby-libs | pas de correctif indiqué |
| rapidfort rocky 10 | rubygem-bigdecimal | pas de correctif indiqué |
| rapidfort rocky 10 | rubygem-bundler | pas de correctif indiqué |
| rapidfort rocky 10 | rubygem-io-console | pas de correctif indiqué |
| rapidfort rocky 10 | rubygem-json | pas de correctif indiqué |
| rapidfort rocky 10 | rubygem-psych | pas de correctif indiqué |
| rapidfort rocky 10 | rubygem-rbs | pas de correctif indiqué |
| rapidfort rocky 9 | ruby | pas de correctif indiqué |
| rapidfort rocky 9 | ruby-devel | pas de correctif indiqué |
| rapidfort rocky 9 | ruby-libs | pas de correctif indiqué |
| rapidfort rocky 9 | rubygem-bigdecimal | pas de correctif indiqué |
| rapidfort rocky 9 | rubygem-bundler | pas de correctif indiqué |
| rapidfort rocky 9 | rubygem-io-console | pas de correctif indiqué |
| rapidfort rocky 9 | rubygem-json | pas de correctif indiqué |
| rapidfort rocky 9 | rubygem-psych | pas de correctif indiqué |
| rapidfort rocky 9 | rubygem-rbs | pas de correctif indiqué |
| rapidfort ubuntu | rf-ruby3.3 | pas de correctif indiqué |
| rapidfort ubuntu | ruby3.3 | pas de correctif indiqué |
| wolfi | gitlab-runner-19.2 | 19.2.6-r1 |
Références
- https://access.redhat.com/security/cve/CVE-2026-89078
- https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-1-released/
- https://gitlab.com/gitlab-org/gitlab/-/work_items/628577
- https://hackerone.com/reports/4019059
- https://nvd.nist.gov/vuln/detail/CVE-2026-89078
- https://www.cve.org/CVERecord?id=CVE-2026-89078
- https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/