CVE-2026-19478
CVSS 9.4 CRITICAL: gitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 18.11.11, 19.0 before 19.0.8…
Vulnerabilità · 49 giorni fa
GitLab CE e EE sono passati in due giorni da disclosure a sfruttamento osservato: WatchTowr ha visto i primi tentativi in honeypot e il problema non è più solo la disponibilità, ma l’integrità dei repository pubblici e della loro storia. GitLab aveva già rilasciato le correzioni per le versioni self-managed 19.2.4, 19.1.6, 19.0.8 e 18.11.11.
La falla CVE-2026-19478 consente a un utente non autenticato di inviare una GraphQL request che GitLab accetta come operazione di progetto legittima. Da lì si può modificare o cancellare contenuto pubblico, fino a falsare merge record e rendere plausibili nei log operazioni che non lo sono.
Per chi usa GitLab come fonte di verità per repository pubblici e release pipeline, la patch non basta da sola a chiudere il problema. Se l’istanza è stata esposta, resta da verificare che stato dei progetti, merge record e provenienza delle release non siano già stati alterati.
CVSS 9.4 CRITICAL: gitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.2 before 18.11.11, 19.0 before 19.0.8…
9 fonti che coprono questa storia
⚡ Weekly Recap: AI-Powered PLC Attacks, GitLab Attacks, Stripe Key Leaks and More
AI-powered PLC attacks, GitLab exploits, npm backdoors, cloud leaks, auth abuse, and payment fraud lead this week’s cybersecurity recap.
GitLab CVE-2026-19478 Comes Under Active Exploitation Within Days of Disclosure
GitLab CVE-2026-19478 is under active exploitation, with unauthenticated attacks able to modify or delete public projects under certain conditions.
Critical GitLab Flaw Exploited Shortly After Disclosure
CVE-2026-19478 can be exploited without authentication to modify or delete public projects and user data.
Critical GitLab Zero-Click Flaw Poses Mitigation Challenges
A lack of technical details could make it hard for organizations running self-managed GitLab versions to detect potential exploitation of CVE-2026-19478.
Critical GitLab flaw allows attackers to delete and modify public repos
Attackers don’t need credentials or user interaction to exploit the flaw which could enable supply chain attacks in self-hosted code repositories.
GitLab has patched a critical, unauthenticated code injection flaw (CVE-2026-19478) that let attackers delete public projects and user data.
GitLab issues emergency patch for critical code-injection flaw
Researchers warn that unauthenticated attackers would be able to delete or modify publicly accessible projects.
GitLab Patches Critical Code Injection Vulnerability
The security defect allows unauthenticated attackers to modify or delete user data and public projects.
Rilevate vulnerabilità in GitLab
Rilevate due vulnerabilità di sicurezza, di cui una con gravità "critica" e una con gravità "alta", che interessano GitLab Community Edition (CE) e GitLab Enterprise Edition (EE).
Kwetsbaarheden verholpen in GitLab door GitLab Inc. Revisies
heeft kwetsbaarheden verholpen in GitLab Community Edition (CE) en Enterprise Edition (EE).
Múltiples vulnerabilidades en GitLab
GitLab ha publicado 2 vulnerabilidades: 1 de severidad crítica y 1 de severidad alta, que afectan a Gi
Critical GitLab GraphQL Flaw Could Let Unauthenticated Attackers Delete Public Projects
GitLab patches CVE-2026-19478, a CVSS 9.4 GraphQL flaw that could let unauthenticated attackers modify or delete public project and user data
Part of the PlainSec briefing for 2026-08-25