Im Zentrum des Updates steht CVE-2026-19478, eine kritische Schwachstelle mit einem CVSS-Wert von 9,4. GitLab beschreibt den Fehler als Code-Injection-Lücke, über die nicht authentifizierte Angreifer per GraphQL-Direktive Nutzerdaten und öffentliche Projekte verändern oder löschen können.
Daneben hat GitLab auch CVE-2026-19650 beseitigt. Dabei handelt es sich um ein Cross-Site-Request-Forgery-Problem im GraphQL-Multiplex-Query-Handler, das mit CVSS 7,1 bewertet wird. In seinem Sicherheitshinweis erklärt GitLab, man habe einen Fehler behoben, der es unter bestimmten Bedingungen einem nicht authentifizierten Nutzer ermöglicht hätte, wegen unzureichender Anfragevalidierung bei der Verarbeitung von GraphQL-Multiplex-Abfragen Mutationen über GET-Anfragen auszuführen.
Betroffen sind nach Angaben des Unternehmens sämtliche GitLab-Community-Edition- und Enterprise-Edition-Versionen ab den Reihen 18.2, 19.0, 19.1 und 19.2. Geschlossen wurden die Lücken in GitLab CE/EE 18.11.11, 19.0.8, 19.1.6 und 19.2.4.
GitLab empfiehlt ausdrücklich, alle selbstverwalteten Installationen umgehend auf eine dieser Versionen zu aktualisieren. Für Nutzer von GitLab.com und GitLab Dedicated ist laut Hersteller kein Eingreifen nötig, weil die Patches dort automatisch eingespielt wurden.
Beide Schwachstellen wurden laut GitLab über das HackerOne-Bug-Bounty-Programm gemeldet. Hinweise darauf, dass eine der Lücken bereits aktiv ausgenutzt wurde, nennt das Unternehmen in seinem Hinweis nicht.