CVE-2026-19650

HochVeröffentlicht

Cross-Site Request Forgery (CSRF) in GitLab

Veröffentlicht: 17.08.2026
Aktualisiert: 17.08.2026
CNA zuweisen: GitLab
Beweise beobachtet: 24.08.2026

Primäres CVSS

7,1/ 10Hoch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

EPSS-Wahrscheinlichkeitsschätzung

0,6 %

Niedrig · nächste 30 Tage

Perzentil: 48,3 %
Modelldatum: 15.10.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

GitLab hat ein Problem in GitLab CE/EE behoben, das alle Versionen von 18.2 vor 18.11.11, 19.0 vor 19.0.8, 19.1 vor 19.1.6 und 19.2 vor 19.2.4 betrifft. Unter bestimmten Bedingungen hätte es einem nicht authentifizierten Benutzer erlauben können, Mutationen über GET-Anfragen auszuführen, bedingt durch eine unzureichende Anforderungsvalidierung bei der Handhabung von GraphQL-Multiplex-Abfragen.

Quellen

CVE-2026-19650-CVE-2026-19478PoC
Proof-of-Concept-Exploit-Ressourcen für CVE-2026-19650 und CVE-2026-19478, die eine GitLab-GraphQL-Schwachstelle betreffen, gedacht für autorisierte Forschung, Tests und Laborumgebungen.
gitlab-cve-2026-19478-labPoC
Reproduzierbares A/B-Lab + sicheres PoC für GitLab CVE-2026-19478 / CVE-2026-19650 (GraphQL @gl_introduced)

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.