文章总结： GitLab于2026年8月17日发布紧急补丁修复CVE-2026-19478，一个CVSS9.4的GraphQL代码注入漏洞。该漏洞允许未经身份验证的攻击者在特定条件下修改或删除公开项目及用户数据。同批次修复的还有CSRF漏洞CVE-2026-19650。建议自行托管用户立即升级至19.2.4、19.1.6、19.0.8或18.11.11版本。GitLab.com和Dedicated用户无需操作。 综合评分： 89 文章分类： 漏洞分析

CVE-2026-19478（CVSS 9.4）：GitLab GraphQL 代码注入漏洞已修复

sec随谈 sec随谈

sec随谈

2026年8月18日 13:06 北京

在小说阅读器读本章

去阅读

摘要

GitLab 于 2026 年 8 月 17 日发布了一次计划外的紧急严重补丁，修复了 CVE-2026-19478——一个 CVSS 评分 9.4 的 GraphQL 代码注入漏洞。在特定条件下，未经身份验证的攻击者可以修改或删除公开项目及用户数据。同批次修复的第二个漏洞 CVE-2026-19650，是一个 CVSS 评分 7.1 的跨站请求伪造（CSRF）问题。目前尚无被利用的报告。

为何重要

GitLab 承载着无数组织的源代码。这一 CVE-2026-19478 代码注入漏洞无需登录即可被利用，因此攻击者能够篡改或摧毁公开项目数据。

该补丁的发布打破了 GitLab 的常规发布节奏，这本身就意味着事态紧急——尤其值得注意的是，这次补丁距离上一次不含任何严重修复的常规发布，仅仅过去了五天。只有自行托管（self-managed）的部署需要采取行动，因为 GitLab.com 和 Dedicated 已经运行修复后的版本。

攻击原理

这两个漏洞都存在于 GitLab 的 GraphQL API 中。严重漏洞涉及一个 GraphQL 指令（directive）——在特定条件下，该指令允许未经身份验证的用户触及数据变更操作。

第二个问题 CVE-2026-19650 是一个跨站请求伪造漏洞，源于 GraphQL 多路复用（multiplex）查询处理程序中不当的请求验证。由于这一缺陷，攻击者可以通过 GET 请求触发数据变更（mutation）操作。与严重的代码注入漏洞不同，这一行为需要用户交互才能实现。（本报道仅描述攻击机制，不包含任何利用代码。）

受影响版本

这两个漏洞均影响 GitLab CE 和 EE。受影响版本范围包括：18.2 至 18.11.11 之前的所有版本、19.0 至 19.0.8 之前的版本、19.1 至 19.1.6 之前的版本，以及 19.2 至 19.2.4 之前的版本。

研究人员”hiimguardian”和”kreep”通过 GitLab 在 HackerOne 平台上的漏洞赏金计划报告了这两个漏洞。

补丁与缓解措施

请尽快升级至 GitLab 19.2.4、19.1.6、19.0.8 或 18.11.11 版本。官方发布的严重补丁说明列出了每个受影响分支的详细修复信息。

这些新版本未引入任何新的数据库迁移（migration），因此多节点部署在升级时应无需停机。鉴于 CVSS 9.4 的评分，自行托管环境的管理员应优先处理此次更新。GitLab.com 和 Dedicated 客户无需采取任何行动。

参考链接：

https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-2-4-released/

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《CVE-2026-19478（CVSS 9.4）：GitLab GraphQL 代码注入漏洞已修复》