CVE-2026-19478（CVSS 9.4）：GitLab GraphQL 代码注入漏洞已修复

sec随谈
sec随谈

sec随谈

2026年8月18日 13:06
北京

在小说阅读器读本章

去阅读

摘要

GitLab 于 2026 年 8 月 17 日发布了一次计划外的紧急严重补丁，修复了 CVE-2026-19478——一个 CVSS 评分 9.4 的 GraphQL 代码注入漏洞。在特定条件下，未经身份验证的攻击者可以修改或删除公开项目及用户数据。同批次修复的第二个漏洞 CVE-2026-19650，是一个 CVSS 评分 7.1 的跨站请求伪造（CSRF）问题。目前尚无被利用的报告。

为何重要

GitLab 承载着无数组织的源代码。这一 CVE-2026-19478 代码注入漏洞无需登录即可被利用，因此攻击者能够篡改或摧毁公开项目数据。

该补丁的发布打破了 GitLab 的常规发布节奏，这本身就意味着事态紧急——尤其值得注意的是，这次补丁距离上一次不含任何严重修复的常规发布，仅仅过去了五天。只有自行托管（self-managed）的部署需要采取行动，因为 GitLab.com 和 Dedicated 已经运行修复后的版本。

攻击原理

这两个漏洞都存在于 GitLab 的 GraphQL API 中。严重漏洞涉及一个 GraphQL 指令（directive）——在特定条件下，该指令允许未经身份验证的用户触及数据变更操作。

第二个问题 CVE-2026-19650 是一个跨站请求伪造漏洞，源于 GraphQL 多路复用（multiplex）查询处理程序中不当的请求验证。由于这一缺陷，攻击者可以通过 GET 请求触发数据变更（mutation）操作。与严重的代码注入漏洞不同，这一行为需要用户交互才能实现。（本报道仅描述攻击机制，不包含任何利用代码。）

受影响版本

这两个漏洞均影响 GitLab CE 和 EE。受影响版本范围包括：18.2 至 18.11.11 之前的所有版本、19.0 至 19.0.8 之前的版本、19.1 至 19.1.6 之前的版本，以及 19.2 至 19.2.4 之前的版本。

研究人员\"hiimguardian\"和\"kreep\"通过 GitLab 在 HackerOne 平台上的漏洞赏金计划报告了这两个漏洞。

补丁与缓解措施

请尽快升级至 GitLab 19.2.4、19.1.6、19.0.8 或 18.11.11 版本。官方发布的严重补丁说明列出了每个受影响分支的详细修复信息。

这些新版本未引入任何新的数据库迁移（migration），因此多节点部署在升级时应无需停机。鉴于 CVSS 9.4 的评分，自行托管环境的管理员应优先处理此次更新。GitLab.com 和 Dedicated 客户无需采取任何行动。

参考链接：

https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-2-4-released/