CVE-2026-55228
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7, REST API nie egzekwowało odpowiednio zakresu zespołów projektowych i obszarów roboczych, umożliwiając użytkownikowi przesyłanie nieprawidłowych konfiguracji zespołów przez API. Przypisując projekty do zespołu za pomocą tych niezweryfikowanych żądań, użytkownik mógł przyznać dostęp do projektów, do których nie był upoważniony. Może to ujawnić prywatne projekty i umożliwić operacje tłumaczenia, repozytorium i zarządzania projektem poza zamierzonym zakresem uprawnień. Problem naprawiono w wersji 2026.7.
Ocena ryzyka
Nieautoryzowany dostęp do prywatnych projektów może prowadzić do naruszenia poufności danych i nieautoryzowanych zmian w repozytoriach.
Rekomendacja
Zaleca się aktualizację Weblate do wersji 2026.7 lub nowszej oraz przegląd konfiguracji zespołów pod kątem nieprawidłowych przypisań.
Inne podatności w Weblate
Zobacz wszystkie- CVE-2026-41654Wysokie
Weblate to narzędzie do lokalizacji oparte na sieci. Przed wersją 5.17.1, uwierzytelniony użytkownik z uprawnieniami project.add mógł zaimportować zmodyfikowany plik ZIP kopii zapasowej projektu, który zawierał adres URL repozytorium wybrany przez atakującego, co prowadziło do potencjalnego ujawnienia danych.
- CVE-2026-21889Wysokie
Weblate to internetowe narzędzie do lokalizacji. Przed wersją 5.15.2, obrazy zrzutów ekranu były serwowane bezpośrednio przez serwer HTTP bez odpowiedniej kontroli dostępu. Mogło to pozwolić nieuwierzytelnionemu użytkownikowi na dostęp do zrzutów ekranu po odgadnięciu ich nazw plików. Luka została naprawiona w wersji 5.15.2.
- CVE-2025-64725Krytyczne
Weblate przed wersją 5.15 umożliwia akceptację zaproszenia otwartego przez innego użytkownika. Wersja 5.15 zawiera poprawkę.
- CVE-2026-77573Niskie
Weblate przed wersją 2026.8 pozwala użytkownikowi z uprawnieniami do zarządzania adresami URL repozytoriów komponentów na przeprowadzenie ataku SSRF na usługi wewnętrzne przez DNS rebinding podczas operacji VCS. Walidacja hosta opiera się na pierwszym rozwiązaniu DNS, ale klienci VCS wykonują osobne zapytanie, co pozwala na przekierowanie na adres wewnętrzny.
- CVE-2026-77507Średnie
Weblate przed wersją 2026.8 nie stosuje kontroli uprawnień w obiektowych kanałach RSS, co pozwala nieautoryzowanym użytkownikom na odczyt metadanych historii zmian z prywatnych projektów i ograniczonych komponentów. W instalacjach z anonimowym dostępem metadane mogą być pobierane bez uwierzytelnienia. Problem naprawiono w wersji 2026.8.
- CVE-2026-62326Średnie
Weblate przed wersją 2026.7 pozwala użytkownikowi z rolą "Edit source" na przechowywanie złośliwego wyrażenia regularnego w flagach ciągu źródłowego, które jest wykonywane bez limitu czasu, co umożliwia blokowanie żądań i odmowę usługi. Problem naprawiono w wersji 2026.7.
- CVE-2026-62249Średnie
Weblate przed wersją 2026.7 pozwala uwierzytelnionemu użytkownikowi z dostępem do projektu na pobieranie historii zmian ograniczonych komponentów w tym projekcie przez zagnieżdżone punkty końcowe API zmian, nawet bez uprawnień do bezpośredniego podglądu tych komponentów. Problem naprawiono w wersji 2026.7.
- CVE-2026-61792Wysokie
Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7 administrator projektu może odczytywać pliki poza swoim repozytorium poprzez funkcję pobierania metadanych App store, która rozwiązuje ścieżki wpływane przez atakującego bez odpowiedniego ograniczenia do repozytorium. Jest to niekompletna poprawka dla CVE-2026-34242, której oryginalna łatka nie w pełni zapobiegła path traversal, umożliwiając dowolny odczyt plików. Użytkownik z uprawnieniami administratora projektu może ujawnić zawartość plików na hoście Weblate poza repozytorium projektu. Problem naprawiono w wersji 2026.7.
- CVE-2026-61790Średnie
Weblate przed wersją 2026.7 nie egzekwuje wymogu dwuskładnikowego uwierzytelniania (2FA) dla globalnych uprawnień, mimo że zespół może wymagać 2FA dla swoich członków. Użytkownik należący do zespołu z wymogiem 2FA otrzymuje globalne uprawnienia bez skonfigurowanego 2FA, co może obejmować dostęp do interfejsu zarządzania. Problem naprawiono w wersji 2026.7.
- CVE-2026-55227Średnie
Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 2026.7 kilka punktów końcowych wyszukuje obiekty w sposób globalny, zamiast ograniczać wyszukiwanie do projektów, do których użytkownik ma dostęp, przez co zwracają kod HTTP 403 (Zabronione) zamiast 404 (Nie znaleziono), gdy użytkownik żąda obiektu, którego nie jest upoważniony zobaczyć. Ta różnica pozwala nieautoryzowanym użytkownikom wywnioskować, czy dany obiekt istnieje w prywatnym projekcie Weblate. Problem został naprawiony w wersji 2026.7.
Oryginalny opis (angielski, źródło NVD)
Weblate is a web-based continuous localization platform used to manage software translations. In versions prior to 2026.7, the REST API did not properly enforce the scope of project- and workspace-scoped teams, allowing a user to submit invalid team configurations through the API. By assigning projects to a team via these unvalidated requests, a user could grant access to projects they were not authorized to see or manage. This could expose private projects and permit translation, repository, and project-management operations outside the user's intended permission scope. This issue is fixed in version 2026.7.