Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je v rámci GraphQL API umožněno provést CSRF útok, díky kterému může provádět změny jménem přihlášených uživatelů [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=17.0, <18.9.6; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1
• GitLab Enterprise Edition; >=17.0, <18.9.6; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Více informací:

• CVE-2026-4922 na cve.org, NVD
• CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 4. 2026.

Neautentizovanému vzdálenému útočníkovi je v důsledku nesprávného ověřování cest k souborům umožněno spustit libovolný JavaScript v prohlížeči uživatele [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1
• GitLab Enterprise Edition; >=18.10, <18.10.4; >=18.11, <18.11.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Více informací:

• CVE-2026-5816 na cve.org, NVD
• CWE-41: Improper Resolution of Path Equivalence na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 4. 2026.

Neautentizovanému vzdálenému útočníkovi je v důsledku nesprávného ověřování vstupů ve vývojovém prostředí umožněn přístup k bezpečnostním tokenům, což může vést k XSS útoku [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=16.1.0, <18.9.6; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1
• GitLab Enterprise Edition; >=16.1.0, <18.9.6; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Více informací:

• CVE-2026-5262 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 4. 2026.