CVE-2026-42150

ŚrednieCVSS 5.1

Opublikowano: 08/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Klient wiersza poleceń wlc korzystający z API REST Weblate w wersjach przed 2.0.0 osadza dane odpowiedzi API w formacie HTML bez ich escapowania. Powoduje to podatność na cross-site scripting (XSS), gdy wynik jest renderowany w przeglądarce.

Ocena ryzyka

Osoba przeglądająca wygenerowany wynik HTML w przeglądarce może zostać narażona na wykonanie złośliwego skryptu. Może to skutkować kradzieżą sesji lub wykonaniem działań w kontekście przeglądarki użytkownika.

Rekomendacja

Zaktualizuj wlc do wersji 2.0.0 lub nowszej, która poprawia tę podatność.

Inne podatności w wlc

CVE-2026-62364Niskie
wlc to klient wiersza poleceń dla Weblate korzystający z API REST. Przed wersją 2.0.1 automatycznie wykrywana konfiguracja z plików .weblate, .weblate.ini lub weblate.ini może wybrać adres URL API, podczas gdy token API bez zakresu jest dostarczany przez WLC_KEY lub --key bez pasującego WLC_URL lub --url. Gdy wlc działa w niezaufanym repozytorium, przy sprawdzaniu pull request lub w katalogu z niezaufaną konfiguracją przodków, może wysłać token do adresu URL kontrolowanego przez atakującego. Klucze z zakresem URL w [keys] nie są dotknięte. Problem naprawiono w wersji 2.0.1.

Oryginalny opis (angielski, źródło NVD)

wlc is a Weblate command-line client using Weblate's REST API. Prior to version 2.0.0, the HTML output format in wlc embeds API response data into HTML without escaping, allowing cross-site scripting when the output is rendered in a browser. This issue has been patched in version 2.0.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS