GitLab - CVE-2026-19478
Date de publication :
Il s'agit d'une vulnérabilité d'injection de code localisée dans le traitement d'une directive GraphQL exposée par l'API de GitLab.
Le moteur GraphQL ne valide pas correctement les paramètres transmis au sein de cette directive, ce qui permet à un attaquant de forger une requête contenant du contenu non prévu par le développeur de l'application. Cette requête est ensuite interprétée et exécutée par le serveur sans contrôle d'authentification préalable, en dehors de tout contexte de session valide.
Elle permet à un attaquant distant non authentifié de modifier ou supprimer des projets publics ainsi que des données utilisateur associées.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Atteinte à l'intégrité des données
Exploitation
CWE-94 : Improper Control of Generation of Code ('Code Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• GitLab CE/EE versions 18.2 jusqu'à 18.11.10 incluse
• GitLab CE/EE versions 19.0 jusqu'à 19.0.7 incluse
• GitLab CE/EE versions 19.1 jusqu'à 19.1.5 incluse
• GitLab CE/EE versions 19.2 jusqu'à 19.2.3 incluse
Solutions ou recommandations
• GitLab CE/EE version 19.0.8 et supérieures
• GitLab CE/EE version 19.1.6 et supérieures
• GitLab CE/EE version 19.2.4 et supérieures