CVE-2026-21889

Weblate to narzędzie do lokalizacji oparte na sieci. Przed wersją 5.17.1, uwierzytelniony użytkownik z uprawnieniami project.add mógł zaimportować zmodyfikowany plik ZIP kopii zapasowej projektu, który zawierał adres URL repozytorium wybrany przez atakującego, co prowadziło do potencjalnego ujawnienia danych.

Weblate przed wersją 5.15 umożliwia akceptację zaproszenia otwartego przez innego użytkownika. Wersja 5.15 zawiera poprawkę.

Weblate przed wersją 2026.8 pozwala użytkownikowi z uprawnieniami do zarządzania adresami URL repozytoriów komponentów na przeprowadzenie ataku SSRF na usługi wewnętrzne przez DNS rebinding podczas operacji VCS. Walidacja hosta opiera się na pierwszym rozwiązaniu DNS, ale klienci VCS wykonują osobne zapytanie, co pozwala na przekierowanie na adres wewnętrzny.

Weblate przed wersją 2026.8 nie stosuje kontroli uprawnień w obiektowych kanałach RSS, co pozwala nieautoryzowanym użytkownikom na odczyt metadanych historii zmian z prywatnych projektów i ograniczonych komponentów. W instalacjach z anonimowym dostępem metadane mogą być pobierane bez uwierzytelnienia. Problem naprawiono w wersji 2026.8.

Weblate przed wersją 2026.7 pozwala użytkownikowi z rolą "Edit source" na przechowywanie złośliwego wyrażenia regularnego w flagach ciągu źródłowego, które jest wykonywane bez limitu czasu, co umożliwia blokowanie żądań i odmowę usługi. Problem naprawiono w wersji 2026.7.

Weblate przed wersją 2026.7 pozwala uwierzytelnionemu użytkownikowi z dostępem do projektu na pobieranie historii zmian ograniczonych komponentów w tym projekcie przez zagnieżdżone punkty końcowe API zmian, nawet bez uprawnień do bezpośredniego podglądu tych komponentów. Problem naprawiono w wersji 2026.7.

Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7 administrator projektu może odczytywać pliki poza swoim repozytorium poprzez funkcję pobierania metadanych App store, która rozwiązuje ścieżki wpływane przez atakującego bez odpowiedniego ograniczenia do repozytorium. Jest to niekompletna poprawka dla CVE-2026-34242, której oryginalna łatka nie w pełni zapobiegła path traversal, umożliwiając dowolny odczyt plików. Użytkownik z uprawnieniami administratora projektu może ujawnić zawartość plików na hoście Weblate poza repozytorium projektu. Problem naprawiono w wersji 2026.7.

Weblate przed wersją 2026.7 nie egzekwuje wymogu dwuskładnikowego uwierzytelniania (2FA) dla globalnych uprawnień, mimo że zespół może wymagać 2FA dla swoich członków. Użytkownik należący do zespołu z wymogiem 2FA otrzymuje globalne uprawnienia bez skonfigurowanego 2FA, co może obejmować dostęp do interfejsu zarządzania. Problem naprawiono w wersji 2026.7.

Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7, REST API nie egzekwowało odpowiednio zakresu zespołów projektowych i obszarów roboczych, umożliwiając użytkownikowi przesyłanie nieprawidłowych konfiguracji zespołów przez API. Przypisując projekty do zespołu za pomocą tych niezweryfikowanych żądań, użytkownik mógł przyznać dostęp do projektów, do których nie był upoważniony. Może to ujawnić prywatne projekty i umożliwić operacje tłumaczenia, repozytorium i zarządzania projektem poza zamierzonym zakresem uprawnień. Problem naprawiono w wersji 2026.7.

Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 2026.7 kilka punktów końcowych wyszukuje obiekty w sposób globalny, zamiast ograniczać wyszukiwanie do projektów, do których użytkownik ma dostęp, przez co zwracają kod HTTP 403 (Zabronione) zamiast 404 (Nie znaleziono), gdy użytkownik żąda obiektu, którego nie jest upoważniony zobaczyć. Ta różnica pozwala nieautoryzowanym użytkownikom wywnioskować, czy dany obiekt istnieje w prywatnym projekcie Weblate. Problem został naprawiony w wersji 2026.7.