CVE-2026-19478
CVSS 9.4 CRITICAL: gitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 18.11.11, 19.0 before 19.0.8…
Vulnerabilità ed exploit · Attacco ad app web
GitLab CE e EE sono passati in due giorni da disclosure a sfruttamento osservato: WatchTowr ha visto i primi tentativi in honeypot e il problema non è più solo la disponibilità, ma l’integrità dei repository pubblici e della loro storia. GitLab aveva già rilasciato le correzioni per le versioni self-managed 19.2.4, 19.1.6, 19.0.8 e 18.11.11.
La falla CVE-2026-19478 consente a un utente non autenticato di inviare una GraphQL request che GitLab accetta come operazione di progetto legittima. Da lì si può modificare o cancellare contenuto pubblico, fino a falsare merge record e rendere plausibili nei log operazioni che non lo sono.
Per chi usa GitLab come fonte di verità per repository pubblici e release pipeline, la patch non basta da sola a chiudere il problema. Se l’istanza è stata esposta, resta da verificare che stato dei progetti, merge record e provenienza delle release non siano già stati alterati.
9 fonti · 24 ago
CVSS 9.4 CRITICAL: gitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 18.11.11, 19.0 before 19.0.8…
The Hacker News
⚡ Weekly Recap: AI-Powered PLC Attacks, GitLab Attacks, Stripe Key Leaks and More
originaleThe Hacker News
GitLab CVE-2026-19478 Comes Under Active Exploitation Within Days of Disclosure
GitLab CVE-2026-19478 is under active exploitation, with unauthenticated attacks able to modify or delete public projects under certain conditions.
originaleSecurityWeek
Critical GitLab Flaw Exploited Shortly After Disclosure
CVE-2026-19478 can be exploited without authentication to modify or delete public projects and user data.
originalePart of the PlainSec briefing for 2026-08-24
Every edition of this story: GitLab passa da disclosure a manipolazione silenziosa