「GitLab」に深刻な脆弱性 - 認証なしで公開プロジェクト改変のおそれ

GitLabは、同社開発プラットフォーム向けにセキュリティアップデートを提供開始した。「クリティカル（Critical）」とされる脆弱性などを解消したとし、早急にアップデートを実施するよう強く求めている。

GitLabは現地時間2026年8月17日、「GitLab Community Edition（CE）」「同Enterprise Edition（EE）」向けにセキュリティアップデートとなる「同19.2.4」「同19.1.6」「同19.0.8」「同18.11.11」をリリースしたもの。バグ報奨金プログラムを通じて報告された2件の脆弱性へ対処した。

「CVE-2026-19478」は、コードインジェクションの脆弱性。認証を必要とすることなく、特定条件下でGraphQLディレクティブを通じてリモートから公開プロジェクトやユーザーデータを改ざんしたり、削除することが可能となる。

「CVE-2026-19650」は、クロスサイトリクエストフォージェリ（CSRF）の脆弱性。「GraphQL」のマルチプレックスクエリ処理における検証不備に起因し、GETリクエストを介してミューテーションを実行することが可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2026-19478」が「9.4」、「CVE-2026-19650」が「7.1」と評価されており、重要度はそれぞれ「クリティカル（Critical）」「高（High）」とレーティングされている。

同社は脆弱性の影響を受けるバージョンを利用している場合は、早急に最新版へアップデートするよう利用者に注意を呼びかけている。

（Security NEXT - 2026/08/18 ）ツイート

「GitLab」に深刻な脆弱性 - 認証なしで公開プロジェクト改変のおそれ

関連リンク

PR

関連記事