GitLab : le tableau dit 19.3.5, une fiche dit toutes les 19.3

Le tableau d'embarquement, au-dessus des portes, a trois numéros de quai et un verbe : monter tout de suite. 19.4.2, 19.3.5, 19.2.8. Derrière, les fiches ne mettent pas toutes la même phrase sur le quai du milieu. L'une dit : avant 19.3.5. Une autre dit : toutes les versions 19.3. Si tu lis seulement le tableau, tu as un mot, Critique ou High, et pas de numéro de fiche. Si tu lis seulement une fiche, tu as un CVSS, et tu n'as pas encore vu que la voisine ne ferme pas le même intervalle.

Le 12 octobre 2026, la page annonce ces trois versions pour GitLab Community Edition (CE) et Enterprise Edition (EE). Le chapeau ajoute une phrase qui n'est pas une fiche : 19.3.4 avait un bogue sur les pages de merge request quand l'intégration Ona était activée. C'est corrigé dans 19.3.5. GitLab.com tourne déjà la version corrigée. Tous les tenants GitLab Dedicated ont été corrigés par une version interne avant la publication de ce correctif. Les issues qui détaillent chaque vulnérabilité deviennent publiques sur le suivi 90 jours après la version qui les corrige. Je ne les ouvre pas pour remplir une case que la page laisse vide.

Le tableau a un mot, la fiche du milieu a une autre borne

J'ai compté vingt-quatre titres dans le tableau, et vingt-quatre fiches en dessous, une par CVE. Le tableau a deux colonnes : le titre, et un mot. Un titre est Critical. Cinq sont High. Quatorze sont Medium. Quatre sont Low. Le numéro CVE n'est pas dans le tableau. Le score CVSS non plus. Ils sont sur la fiche.

Six titres sont marqués EE seul. Les autres disent CE/EE. Les six : la politique d'exécution de pipelines planifiés, le prompt du Duo Agent Platform, les rôles personnalisés, le contournement de gouvernance du Duo Agent Platform, l'éligibilité d'approbation des merge requests, et les réglages CI/CD du projet. Je ne mets pas un correctif EE sur une instance CE pour faire une phrase plus courte.

La fiche critique est CVE-2026-97229, dépassement d'entier dans le compilateur d'expressions régulières du CI/CD. Sous certaines conditions, un utilisateur non authentifié pouvait exécuter du code arbitraire sur le serveur via une expression régulière fabriquée dans une configuration CI/CD. La ligne de versions : toutes les versions à partir de 19.2 avant 19.2.8, 19.3 avant 19.3.5, et 19.4 avant 19.4.2. CVSS 10.0, vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Le tableau, pour ce titre-là, imprime le mot Critical. Il n'imprime pas le 10.0. Je ne dis pas que le tableau a fait la conversion.

La fiche qui ne ferme pas le quai 19.3 de la même façon est CVE-2026-84284, autorisation incorrecte dans la hiérarchie des work items, en GraphQL. Sous certaines conditions, un utilisateur non authentifié pouvait lire le contenu de work items de groupes et de projets privés. La ligne de versions : toutes les versions à partir de 17.11 avant 19.2.8, toutes les versions 19.3, et 19.4 avant 19.4.2. CVSS 5.3. « All 19.3 versions » est écrit. La fiche critique, elle, s'arrêtait à « 19.3 before 19.3.5 ». Le chapeau te dit de monter en 19.3.5. Cette fiche-là ne dit pas « avant 19.3.5 ». Je ne corrige pas l'une par l'autre.

Une troisième borne, pour ne pas croire que toutes les fiches ont un plancher : CVE-2026-14814, expression régulière trop permissive sur l'accès aux fichiers du dépôt, dit toutes les versions avant 19.2.8, puis 19.3 avant 19.3.5, et 19.4 avant 19.4.2. Pas de « from » devant un numéro de départ. CVSS 8.2. Le mot du tableau, pour ce titre, est High.

Deux colis s'appellent registre, et ils n'ont pas le même mot

Le tableau a deux titres qui se ressemblent. L'un : Incorrect Authorization issue in package registry, Medium, CE/EE. L'autre : Incorrect Authorization issue in Package Registry, Low, CE/EE. La majuscule n'est pas la même. Le mot de sévérité non plus.

La fiche Medium est CVE-2026-5954. Sous certaines conditions, un utilisateur pouvait télécharger des fichiers de paquets d'un projet public, à cause de contrôles d'autorisation incorrects. Versions : à partir de 15.1 avant 19.2.8, 19.3 avant 19.3.5, 19.4 avant 19.4.2. CVSS 4.2.

La fiche Low est CVE-2026-103549. Sous certaines conditions, un utilisateur authentifié avec les permissions d'un rôle maintainer pouvait retirer certaines métadonnées du registre que les règles de protection de paquets réservent à des rôles plus élevés. Versions : à partir de 17.6 avant 19.2.8, puis les mêmes 19.3 et 19.4. CVSS 2.7. Le plancher n'est pas 15.1. Le verbe n'est pas télécharger. Je ne fais pas un seul colis des deux.

Les listes de bogues réimpriment, et la migration ne nomme qu'un quai

Sous les fiches, trois listes de bogues, une par version. Dans la liste 19.4.2, deux puces Ruby sont imprimées, puis elles reviennent plus bas, les mêmes : Add Ruby regexp program size patch for 3.3 and 3.4 et Add Ruby regexp repeat-range double-free patch for 3.3 and 3.4. La liste 19.3.5 les imprime aussi deux fois, avec le repère 19.3. La liste 19.2.8 aussi, avec 19.2. Je n'en retire pas une pour faire une liste propre.

La 19.3.5 a, en plus, deux puces qui ne s'épellent pas pareil. Bump ElasticSearch version. Plus bas : Bumps Elastic Search version. Je laisse les deux verbes et les deux orthographes.

La section des migrations après déploiement ne nomme qu'une version : 19.3.5. Elle ne nomme ni 19.4.2, ni 19.2.8. Le paragraphe d'impact, au-dessus, parle du correctif au singulier : sur une instance à un seul nœud, ce correctif cause un arrêt le temps que les migrations finissent avant que GitLab démarre. Sur plusieurs nœuds, avec les procédures de mise à jour sans arrêt, il peut s'appliquer sans arrêt. « Can » est le mot de la page. Je ne le lis pas comme une promesse pour les trois quais.

✍️ À toi : la version qui tourne vraiment, CE ou EE, et si tu lis le tableau ou la fiche CVE-2026-84284. Le quai affiché est 19.3.5. Une fiche, elle, écrit toutes les 19.3.

Le 12 octobre, GitLab publie 19.4.2, 19.3.5 et 19.2.8, dit que GitLab.com est déjà corrigé, et compte vingt-quatre titres dont un Critical. La fiche du dépassement d'entier s'arrête à 19.3 avant 19.3.5 et imprime un CVSS 10.0. La fiche de la hiérarchie des work items écrit toutes les versions 19.3. Deux fiches de registre ne partagent ni le mot Medium, ni le plancher, ni le verbe. Les listes réimpriment les lignes Ruby, et la migration post-déploiement ne nomme que 19.3.5. Le tableau a trois quais. Les fiches n'ont pas toutes la même borne.