GitLab vá lỗi GraphQL nghiêm trọng cho phép sửa hoặc xóa dự án công khai
"GitLab released out-of-band security updates to fix a critical GraphQL vulnerability, CVE-2026-19478, that could let an unauthenticated attacker remotely modify or delete public projects and user data under certain conditions. The patch also addresses CVE-2026-19650, a high-severity CSRF issue in GraphQL multiplex query handling that could allow mutations via GET requests; fixes are available in GitLab 19.2.4, 19.1.6, 19.0.8, and 18.11.11 for self-managed installations."
CVE-2026-19478 có thể dẫn đến xóa/sửa dữ liệu từ xa mà không cần đăng nhập; CVE-2026-19650 làm tăng rủi ro CSRF và thao tác trái phép qua GET requests.
Dự án công khai có nguy cơ bị thay đổi hoặc xóa, ảnh hưởng tính toàn vẹn dữ liệu và uy tín vận hành; các tổ chức dùng self-managed GitLab cần ưu tiên vá để giảm gián đoạn.
GitLab đã phát hành bản cập nhật bảo mật ngoài lịch để khắc phục hai lỗ hổng trong GitLab Community Edition (CE) và Enterprise Edition (EE). Lỗi nghiêm trọng nhất, CVE-2026-19478, được chấm CVSS 9.4, có thể cho phép kẻ tấn công không cần xác thực sửa đổi hoặc xóa dự án công khai và dữ liệu người dùng trong một số điều kiện nhất định, thông qua GraphQL directive.
Bản vá cũng xử lý CVE-2026-19650, một lỗi CSRF mức High với điểm CVSS 7.1 trong bộ xử lý GraphQL multiplex query. Lỗ hổng này có thể dẫn đến thực thi mutations qua GET requests nếu yêu cầu được xử lý không đúng cách.
Các bản sửa lỗi đã có trong GitLab 19.2.4, 19.1.6, 19.0.8 và 18.11.11. Theo thông báo, chỉ các hệ thống self-managed cần cập nhật; GitLab.com và GitLab Dedicated đã được vá sẵn. GitLab cho biết bản cập nhật không tạo migration mới và dự kiến không cần downtime trên triển khai nhiều nút.
Khuyến nghị: kiểm tra ngay phiên bản đang chạy, ưu tiên nâng cấp lên bản đã vá phù hợp, và rà soát quyền truy cập cũng như nhật ký thay đổi đối với các dự án công khai.