GitLab exposto: falha grave na API deixava projetos vulneráveis sem login

Segundo o BoletimSec, o GitLab acaba de corrigir uma vulnerabilidade crítica em sua API GraphQL, catalogada como CVE-2026-19478, que permitia a invasores remotos modificar ou até excluir projetos públicos e dados de usuários sem precisar de qualquer autenticação. Sim, você leu certo: sem login, sem senha, sem nada. Bastava uma requisição bem construída para bagunçar o ambiente de quem confia na plataforma para versionar código, gerenciar pipelines e organizar todo o ciclo de desenvolvimento.

Antes de qualquer coisa, vale explicar o que é essa tal API GraphQL para quem não vive dentro do universo de desenvolvimento. Diferente de APIs REST tradicionais, o GraphQL permite que o cliente monte a consulta exatamente do jeito que precisa, pedindo só os dados necessários. É uma tecnologia poderosa, elegante e muito usada por grandes plataformas, entre elas o GitLab. O problema é que, quando mal implementada ou mal validada, essa flexibilidade vira uma porta aberta.

No caso específico dessa falha, o time de segurança identificou uma injeção de código por meio de uma diretiva GraphQL. Em termos simples, um invasor conseguia inserir instruções maliciosas dentro de uma requisição legítima, e o sistema, sob certas condições, processava esse comando como se fosse válido. O resultado é o pesadelo de qualquer gestor de TI: alteração ou exclusão de projetos públicos e dados de usuários, tudo isso de forma remota e sem autenticação prévia.

Por que isso deveria tirar o sono de quem administra infraestrutura

Muita gente pequena e média empresa ainda enxerga o GitLab como "só uma ferramenta de código". Mas na prática, ele guarda propriedade intelectual, segredos de aplicação, histórico de decisões técnicas e, em muitos casos, dados sensíveis de clientes embutidos em configurações. Uma falha como essa não é um detalhe técnico distante da realidade do negócio, é uma porta para prejuízo financeiro e reputacional direto.

Empresas que dependem de repositórios públicos ou semi-públicos para colaboração externa, integração com parceiros ou até distribuição de código aberto, fic