GitLab, Kritik Kod Enjeksiyonu Açığını Yama ile Kapattı

GitLab, platformun güvenliğini tehdit eden iki önemli zafiyeti gidermek için yeni güvenlik yamalarını kullanıma sundu. Kimlik doğrulaması gerektirmeyen bu açık, saldırganların GraphQL direktiflerini kullanarak kullanıcı verilerini değiştirmesine veya halka açık projeleri silmesine olanak tanıyor.

İkinci zafiyet olan CVE-2026-19650 ise 7.1 CVSS puanına sahip bir siteler arası istek sahteciliği (CSRF) sorununu kapsıyor. Bu hata, GraphQL çoklu sorgu işleyicisindeki hatalı doğrulama nedeniyle, kimlik doğrulaması yapmamış kullanıcıların GET istekleri üzerinden mutasyon gerçekleştirmesine yol açabiliyordu.

Söz konusu güvenlik açıkları; 18.2, 19.0, 19.1 ve 19.2 sürümlerinden itibaren tüm GitLab Community Edition (CE) ve Enterprise Edition (EE) sürümlerini etkiliyor. Sorunlar; 18.11.11, 19.0.8, 19.1.6 ve 19.2.4 sürümleriyle giderildi.

GitLab.com ve GitLab Dedicated kullanıcıları için yamalar otomatik olarak uygulandığından, bu tarafta ek bir işlem yapılması gerekmiyor. Şirket, her iki zafiyetin de HackerOne hata ödül programı üzerinden bildirildiğini ve şu an için herhangi bir aktif sömürü belirtisi gözlemlenmediğini belirtti.