CVE-2025-66407
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Weblate przed wersją 5.15 nie waliduje ani nie sanityzuje pola URL repozytorium w funkcji tworzenia komponentu, co pozwala na podanie dowolnych protokołów, nazw hostów i adresów IP, w tym localhost i adresów sieci wewnętrznej. Przy wybranym systemie kontroli wersji Mercurial aplikacja ujawnia pełną odpowiedź HTTP serwera dla podanego URL, co tworzy podatność typu SSRF umożliwiającą sondowanie usług wewnętrznych i odczytywanie ich zawartości. Dodatkowo błędy aplikacji pozwalają na enumerację plików lokalnych poprzez żądania file://, a w środowiskach chmurowych możliwy jest dostęp do wewnętrznych punktów końcowych, takich jak usługi metadanych.
Ocena ryzyka
Podatność pozwala atakującemu na dostęp do wewnętrznych usług sieciowych i plików serwera, a w chmurze może prowadzić do ujawnienia poświadczeń i pełnego przejęcia środowiska. Ryzyko jest szczególnie wysokie, gdy Weblate działa w infrastrukturze chmurowej z dostępem do usług metadanych.
Rekomendacja
Zaktualizuj Weblate do wersji 5.15 lub nowszej. Jeśli aktualizacja nie jest możliwa, usuń Mercurial z konfiguracji VCS_BACKENDS — backend Git nie jest podatny, ponieważ blokuje protokół file i nie ujawnia treści odpowiedzi HTTP w komunikatach błędów.
Inne podatności w Weblate
Zobacz wszystkie- CVE-2026-41654Wysokie
Weblate to narzędzie do lokalizacji oparte na sieci. Przed wersją 5.17.1, uwierzytelniony użytkownik z uprawnieniami project.add mógł zaimportować zmodyfikowany plik ZIP kopii zapasowej projektu, który zawierał adres URL repozytorium wybrany przez atakującego, co prowadziło do potencjalnego ujawnienia danych.
- CVE-2026-21889Wysokie
Weblate to internetowe narzędzie do lokalizacji. Przed wersją 5.15.2, obrazy zrzutów ekranu były serwowane bezpośrednio przez serwer HTTP bez odpowiedniej kontroli dostępu. Mogło to pozwolić nieuwierzytelnionemu użytkownikowi na dostęp do zrzutów ekranu po odgadnięciu ich nazw plików. Luka została naprawiona w wersji 5.15.2.
- CVE-2025-64725Krytyczne
Weblate przed wersją 5.15 umożliwia akceptację zaproszenia otwartego przez innego użytkownika. Wersja 5.15 zawiera poprawkę.
- CVE-2026-86035Wysokie
Weblate w wersjach od 4.11.1 do 2026.7.1 zawiera podatność na wstrzyknięcie argumentów w backendzie Mercurial. Nazwy plików repozytorium zaczynające się od znaku - mogą być interpretowane jako opcje Mercurial zamiast ścieżek. Uwierzytelniony użytkownik z uprawnieniem component.edit w zakresie projektu może to wykorzystać przez komponent RESX korzystający z Mercurial i dodatek Update RESX files, co może doprowadzić do wykonania dowolnych poleceń z uprawnieniami konta usługi Weblate. Podatność została naprawiona w wersji 2026.8.
- CVE-2026-77573Niskie
Weblate przed wersją 2026.8 pozwala użytkownikowi z uprawnieniami do zarządzania adresami URL repozytoriów komponentów na przeprowadzenie ataku SSRF na usługi wewnętrzne przez DNS rebinding podczas operacji VCS. Walidacja hosta opiera się na pierwszym rozwiązaniu DNS, ale klienci VCS wykonują osobne zapytanie, co pozwala na przekierowanie na adres wewnętrzny.
- CVE-2026-77507Średnie
Weblate przed wersją 2026.8 nie stosuje kontroli uprawnień w obiektowych kanałach RSS, co pozwala nieautoryzowanym użytkownikom na odczyt metadanych historii zmian z prywatnych projektów i ograniczonych komponentów. W instalacjach z anonimowym dostępem metadane mogą być pobierane bez uwierzytelnienia. Problem naprawiono w wersji 2026.8.
- CVE-2026-62326Średnie
Weblate przed wersją 2026.7 pozwala użytkownikowi z rolą "Edit source" na przechowywanie złośliwego wyrażenia regularnego w flagach ciągu źródłowego, które jest wykonywane bez limitu czasu, co umożliwia blokowanie żądań i odmowę usługi. Problem naprawiono w wersji 2026.7.
- CVE-2026-62249Średnie
Weblate przed wersją 2026.7 pozwala uwierzytelnionemu użytkownikowi z dostępem do projektu na pobieranie historii zmian ograniczonych komponentów w tym projekcie przez zagnieżdżone punkty końcowe API zmian, nawet bez uprawnień do bezpośredniego podglądu tych komponentów. Problem naprawiono w wersji 2026.7.
- CVE-2026-61792Wysokie
Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7 administrator projektu może odczytywać pliki poza swoim repozytorium poprzez funkcję pobierania metadanych App store, która rozwiązuje ścieżki wpływane przez atakującego bez odpowiedniego ograniczenia do repozytorium. Jest to niekompletna poprawka dla CVE-2026-34242, której oryginalna łatka nie w pełni zapobiegła path traversal, umożliwiając dowolny odczyt plików. Użytkownik z uprawnieniami administratora projektu może ujawnić zawartość plików na hoście Weblate poza repozytorium projektu. Problem naprawiono w wersji 2026.7.
- CVE-2026-61790Średnie
Weblate przed wersją 2026.7 nie egzekwuje wymogu dwuskładnikowego uwierzytelniania (2FA) dla globalnych uprawnień, mimo że zespół może wymagać 2FA dla swoich członków. Użytkownik należący do zespołu z wymogiem 2FA otrzymuje globalne uprawnienia bez skonfigurowanego 2FA, co może obejmować dostęp do interfejsu zarządzania. Problem naprawiono w wersji 2026.7.
Oryginalny opis (angielski, źródło NVD)
Weblate is a web based localization tool. The Create Component functionality in Weblate allows authorized users to add new translation components by specifying both a version control system and a source code repository URL to pull from. However, prior to version 5.15, the repository URL field is not validated or sanitized, allowing an attacker to supply arbitrary protocols, hostnames, and IP addresses, including localhost, internal network addresses, and local filenames. When the Mercurial version control system is selected, Weblate exposes the full server-side HTTP response for the provided URL. This effectively creates a server-side request forgery (SSRF) primitive that can probe internal services and return their contents. In addition to accessing internal HTTP endpoints, the behavior also enables local file enumeration by attempting file:// requests. While file contents may not always be returned, the application’s error messages clearly differentiate between files that exist and files that do not, revealing information about the server’s filesystem layout. In cloud environments, this behavior is particularly dangerous, as internal-only endpoints such as cloud metadata services may be accessible, potentially leading to credential disclosure and full environment compromise. This has been addressed in the Weblate 5.15 release. As a workaround, remove Mercurial from `VCS_BACKENDS`; the Git backend is not affected. The Git backend was already configured to block the file protocol and does not expose the HTTP response content in the error message.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS