GitLab 关键 GraphQL 漏洞可能允许未认证攻击者删除公共项目

GitLab 已发布安全更新，以修复影响其社区版（CE）和企业版（EE）软件的一个关键漏洞。在某些条件下，该漏洞可能允许未认证攻击者远程修改或删除公共项目和用户数据。
该漏洞编号为 CVE-2026-19478，GitLab 将其评为 Critical（严重），CVSS 评分为 9.4。
该关键补丁版本于 2026 年 8 月 17 日发布，超出了公司通常的发布时间表——即每月第二个和第四个周三发布两次更新。此次发布距离一次不包含任何严重级别问题的常规补丁发布仅五天。
只有自托管安装需要采取行动。修复程序适用于 GitLab 19.2.4、19.1.6、19.0.8 和 18.11.11。
"GitLab.com 和 GitLab Dedicated 已在运行已打补丁的版本。GitLab.com 和 GitLab Dedicated 客户无需采取任何操作，"该公司表示。
以下版本受影响——

• 从 18.2 到 18.11.11 之前的所有版本
• 19.0 到 19.0.8 之前
• 19.1 到 19.1.6 之前
• 19.2 到 19.2.4 之前

修复不涵盖 18.2 至 18.10 分支，这些分支位于受影响范围内。
"GitLab 已修复一个在某些条件下可能允许未认证用户通过 GraphQL 指令远程修改或删除公共项目和用户数据的问题，"GitLab 表示。
为该漏洞发布的 CVSS 向量表明，攻击者可以在不持有任何凭证的情况下通过网络利用该漏洞，且无需受害者采取任何操作。
GitLab 未指明涉及的 GraphQL 指令，也未说明利用所需的具体条件。
该公告未披露任一漏洞已被利用，截至 2026 年 8 月 18 日，GitHub 上也未出现针对它们的公开利用代码。
本次发布中修复的第二个问题 CVE-2026-19650 被 GitLab 评为 High（高危），CVSS 评分为 7.1，涉及 GraphQL 多路复用查询处理程序中的一个跨站请求伪造（CSRF）弱点。
与关键漏洞不同，该漏洞需要用户交互才能生效。
"GitLab 已修复一个在某些条件下可能因 GraphQL 多路复用查询处理中的请求验证不当，而允许未认证用户通过 GET 请求执行变更（mutations）的问题，"该公司表示。
该公司表示，此次更新不引入新的迁移，预计无需在多节点部署上停机。
此次披露之前，2026 年 7 月的一份报告中，研究人员发布了针对影响自托管服务器的另一个 GitLab 漏洞的可运行利用代码。
GitLab 未立即回应置评请求。
该公司表示，会在发布补丁的 90 天后，在其问题跟踪器上公开每个漏洞的详细信息。GitLab 2026 年 6 月 10 日的补丁发布将该窗口缩短为 30 天。
这意味着这两个漏洞的技术细节预计将在 2026 年 11 月中旬左右公布。