Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v rámci GraphQL API umožnené vykonať CSRF útok, vďaka ktorému môže vykonávať zmeny v mene prihlásených používateľov [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=17.0, <18.9.6; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1
• GitLab Enterprise Edition; >=17.0, <18.9.6; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2026-4922 na cve.org, NVD
• CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 4. 2026.

Neautentizovanému vzdialenému útočníkovi je v dôsledku nesprávneho overovania ciest k súborom umožnené spustiť ľubovoľný JavaScript v prehliadači používateľa [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1
• GitLab Enterprise Edition; >=18.10, <18.10.4; >=18.11, <18.11.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

• CVE-2026-5816 na cve.org, NVD
• CWE-41: Improper Resolution of Path Equivalence na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 4. 2026.

Neautentizovanému vzdialenému útočníkovi je v dôsledku nesprávneho overovania vstupov vo vývojovom prostredí umožnený prístup k bezpečnostným tokenom, čo môže viesť k XSS útoku [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=16.1.0, <18.9.6; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1
• GitLab Enterprise Edition; >=16.1.0, <18.9.6; >=18.10.0, <18.10.4; >=18.11.0, <18.11.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

• CVE-2026-5262 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 22. 4. 2026.