Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok prostredníctvom špeciálnej direktívy v GraphQL dopyte umožnené na diaľku upraviť alebo odstrániť verejné projekty a používateľské dáta [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=18.2, <18.11.11; >=19.0, <19.0.8; >=19.1, <19.1.6; >=19.2, <19.2.4
• GitLab Enterprise Edition; >=18.2, <18.11.11; >=19.0, <19.0.8; >=19.1, <19.1.6; >=19.2, <19.2.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H

Viac informácií:

• CVE-2026-19478 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 8. 2026.

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok v dôsledku nesprávnej validácie pri spracovaní viacerých GraphQL dopytov odoslaných naraz umožnené vykonať operácie meniace dáta prostredníctvom GET požiadaviek [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=18.2, <18.11.11; >=19.0, <19.0.8; >=19.1, <19.1.6; >=19.2, <19.2.4
• GitLab Enterprise Edition; >=18.2, <18.11.11; >=19.0, <19.0.8; >=19.1, <19.1.6; >=19.2, <19.2.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Viac informácií:

• CVE-2026-19650 na cve.org, NVD
• CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 8. 2026.