GitLab espone la scrittura anonima sulla GraphQL pubblica
GitLab ha corretto due flaw in GraphQL su Community Edition ed Enterprise Edition, e il punto critico è che un’istanza self-hosted non aggiornata non rischia solo letture indebite ma cambi di stato diretti. watchTowr ha riprodotto il bug critico in pochi minuti dalla disclosure, segno che la weaponization è dietro l’angolo per gli ambienti esposti su Internet.
Il primo problema, CVE-2026-19478, consente a un utente non autenticato di usare una GraphQL directive per modificare o cancellare progetti pubblici e dati utente. Il secondo, CVE-2026-19650, sfrutta una validazione errata delle request GraphQL multiplexed: una richiesta che appare come GET può comunque innescare una mutation, quindi il server accetta un cambiamento che avrebbe dovuto respingere.
GitLab ha rilasciato le correzioni in 18.11.11, 19.0.8, 19.1.6 e 19.2.4, e le istanze GitLab.com e GitLab Dedicated sono già coperte. Per chi gestisce CE/EE in proprio, soprattutto se l’API è raggiungibile dall’esterno, la fiducia nel solo verbo GET non regge più: un endpoint GraphQL che mescola letture e scritture può diventare una via di corruzione dello stato, non solo di esposizione dati.