GitLabは月曜日、認証なしで悪用可能な緊急度のコードインジェクション欠陥を含む2件の脆弱性に対するパッチをリリースしました。
CVE-2026-19478(CVSSスコア9.4)として追跡されているこのセキュリティ上の欠陥は、攻撃者がGraphQLディレクティブを介してユーザーデータや公開プロジェクトを改ざん・削除することを可能にするものだと、GitLabはアドバイザリで説明しています。
2件目の脆弱性はCVE-2026-19650(CVSSスコア7.1)で、GraphQLマルチプレックスクエリハンドラーに影響を及ぼすクロスサイトリクエストフォージェリ(CSRF)の問題です。
「GitLabは、GraphQLマルチプレックスクエリの処理におけるリクエスト検証の不備により、特定の条件下で未認証ユーザーがGETリクエストを介してミューテーションを実行できてしまう可能性があった問題を修正しました」とアドバイザリには記載されています。
この2件の脆弱性は、18.2、19.0、19.1、19.2以降のすべてのGitLab Community Edition(CE)およびEnterprise Edition(EE)のバージョンに影響します。これらはGitLab CE/EEバージョン18.11.11、19.0.8、19.1.6、19.2.4で修正されました。
「セルフマネージド型のGitLab導入環境はすべて、直ちにこれらのバージョンのいずれかにアップグレードすることを強く推奨します」とGitLabは述べています。
このパッチはGitLab.comおよびGitLab Dedicatedには自動的に適用済みであり、これらの利用者側での対応は必要ありません。
GitLabによると、両方のセキュリティ上の欠陥は同社のHackerOneバグバウンティプログラムを通じて報告されたとのことです。このコード管理・共有プラットフォームは、これらの脆弱性が実際に悪用された事例については一切言及していません。
翻訳元: https://www.securityweek.com/gitlab-patches-critical-code-injection-vulnerability/
