Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab opravuje 2 zranitelnosti
GitLab verzemi 19.2.4, 19.1.6, 19.0.8 a 18.11.11 opravuje 2 zranitelnosti v produktech GitLab Community Edition (CE) a Enterprise Edition (EE). Nejzávažnější z nich jsou popsány níže, zbytek naleznete na [1].
Neověřený vzdálený útočník může za určitých podmínek prostřednictvím speciální direktivy v GraphQL dotazu vzdáleně upravit nebo odstranit veřejné projekty a uživatelská data [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=18.2, <18.11.11; >=19.0, <19.0.8; >=19.1, <19.1.6; >=19.2, <19.2.4
- GitLab Enterprise Edition; >=18.2, <18.11.11; >=19.0, <19.0.8; >=19.1, <19.1.6; >=19.2, <19.2.4
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H
Více informací:
- CVE-2026-19478 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 17. 8. 2026.
Neověřený vzdálený útočník může za určitých podmínek v důsledku nesprávné validace při zpracování více GraphQL dotazů odeslaných najednou provádět operace měnící data prostřednictvím GET požadavků [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=18.2, <18.11.11; >=19.0, <19.0.8; >=19.1, <19.1.6; >=19.2, <19.2.4
- GitLab Enterprise Edition; >=18.2, <18.11.11; >=19.0, <19.0.8; >=19.1, <19.1.6; >=19.2, <19.2.4
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L
Více informací:
- CVE-2026-19650 na cve.org, NVD
- CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org
Zranitelnost byla veřejně oznámena 17. 8. 2026.
Za CESNET, z.s.p.o. Henrieta Paločková dne 18. 8. 2026.