CVE-2026-19478

CVE-2026-19478 betrifft GitLab CE/EE und ermöglicht unter bestimmten Bedingungen einem nicht authentifizierten Benutzer, öffentliche Projekte und Benutzerdaten über eine GraphQL-Direktive aus der Ferne zu modifizieren oder zu löschen. Dies stellt eine kritische Schwachstelle dar, die die Integrität und Verfügbarkeit von Daten beeinträchtigen kann. Die Schwachstelle betrifft alle Versionen von 18.2 vor 18.11.11, 19.0 vor 19.0.8, 19.1 vor 19.1.6 und 19.2 vor 19.2.4. Mit einem CVSS-Score von 9.4 (CRITICAL) ist die Schwachstelle als hochkritisch einzustufen. Die EPSS-Wahrscheinlichkeit für eine Ausnutzung liegt bei 6%, was auf ein moderates, aber vorhandenes Risiko hindeutet. Die Schwachstelle ist derzeit nicht im CISA KEV-Katalog gelistet, was bedeutet, dass keine aktive, weit verbreitete Ausnutzung bekannt ist. Security-Teams sollten umgehend die betroffenen GitLab-Instanzen auf eine gepatchte Version aktualisieren, um das Risiko einer unautorisierten Datenmanipulation oder -löschung zu minimieren. Eine Priorisierung dieser Maßnahme ist aufgrund der hohen Kritikalität und der Möglichkeit der Fernausnutzung durch nicht authentifizierte Benutzer dringend empfohlen.