CVE-2026-77573
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Weblate przed wersją 2026.8 pozwala użytkownikowi z uprawnieniami do zarządzania adresami URL repozytoriów komponentów na przeprowadzenie ataku SSRF na usługi wewnętrzne przez DNS rebinding podczas operacji VCS. Walidacja hosta opiera się na pierwszym rozwiązaniu DNS, ale klienci VCS wykonują osobne zapytanie, co pozwala na przekierowanie na adres wewnętrzny.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych usług VCS i potencjalnie ujawnić zawartość prywatnych repozytoriów, co może prowadzić do wycieku wrażliwych danych.
Rekomendacja
Zaktualizuj Weblate do wersji 2026.8 lub nowszej. Ogranicz możliwość dodawania niezaufanych hostów repozytoriów.
Inne podatności w Weblate
Zobacz wszystkie- CVE-2026-41654Wysokie
Weblate to narzędzie do lokalizacji oparte na sieci. Przed wersją 5.17.1, uwierzytelniony użytkownik z uprawnieniami project.add mógł zaimportować zmodyfikowany plik ZIP kopii zapasowej projektu, który zawierał adres URL repozytorium wybrany przez atakującego, co prowadziło do potencjalnego ujawnienia danych.
- CVE-2026-21889Wysokie
Weblate to internetowe narzędzie do lokalizacji. Przed wersją 5.15.2, obrazy zrzutów ekranu były serwowane bezpośrednio przez serwer HTTP bez odpowiedniej kontroli dostępu. Mogło to pozwolić nieuwierzytelnionemu użytkownikowi na dostęp do zrzutów ekranu po odgadnięciu ich nazw plików. Luka została naprawiona w wersji 5.15.2.
- CVE-2025-64725Krytyczne
Weblate przed wersją 5.15 umożliwia akceptację zaproszenia otwartego przez innego użytkownika. Wersja 5.15 zawiera poprawkę.
- CVE-2026-77507Średnie
Weblate przed wersją 2026.8 nie stosuje kontroli uprawnień w obiektowych kanałach RSS, co pozwala nieautoryzowanym użytkownikom na odczyt metadanych historii zmian z prywatnych projektów i ograniczonych komponentów. W instalacjach z anonimowym dostępem metadane mogą być pobierane bez uwierzytelnienia. Problem naprawiono w wersji 2026.8.
- CVE-2026-62326Średnie
Weblate przed wersją 2026.7 pozwala użytkownikowi z rolą "Edit source" na przechowywanie złośliwego wyrażenia regularnego w flagach ciągu źródłowego, które jest wykonywane bez limitu czasu, co umożliwia blokowanie żądań i odmowę usługi. Problem naprawiono w wersji 2026.7.
- CVE-2026-62249Średnie
Weblate przed wersją 2026.7 pozwala uwierzytelnionemu użytkownikowi z dostępem do projektu na pobieranie historii zmian ograniczonych komponentów w tym projekcie przez zagnieżdżone punkty końcowe API zmian, nawet bez uprawnień do bezpośredniego podglądu tych komponentów. Problem naprawiono w wersji 2026.7.
- CVE-2026-61792Wysokie
Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7 administrator projektu może odczytywać pliki poza swoim repozytorium poprzez funkcję pobierania metadanych App store, która rozwiązuje ścieżki wpływane przez atakującego bez odpowiedniego ograniczenia do repozytorium. Jest to niekompletna poprawka dla CVE-2026-34242, której oryginalna łatka nie w pełni zapobiegła path traversal, umożliwiając dowolny odczyt plików. Użytkownik z uprawnieniami administratora projektu może ujawnić zawartość plików na hoście Weblate poza repozytorium projektu. Problem naprawiono w wersji 2026.7.
- CVE-2026-61790Średnie
Weblate przed wersją 2026.7 nie egzekwuje wymogu dwuskładnikowego uwierzytelniania (2FA) dla globalnych uprawnień, mimo że zespół może wymagać 2FA dla swoich członków. Użytkownik należący do zespołu z wymogiem 2FA otrzymuje globalne uprawnienia bez skonfigurowanego 2FA, co może obejmować dostęp do interfejsu zarządzania. Problem naprawiono w wersji 2026.7.
- CVE-2026-55228Wysokie
Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7, REST API nie egzekwowało odpowiednio zakresu zespołów projektowych i obszarów roboczych, umożliwiając użytkownikowi przesyłanie nieprawidłowych konfiguracji zespołów przez API. Przypisując projekty do zespołu za pomocą tych niezweryfikowanych żądań, użytkownik mógł przyznać dostęp do projektów, do których nie był upoważniony. Może to ujawnić prywatne projekty i umożliwić operacje tłumaczenia, repozytorium i zarządzania projektem poza zamierzonym zakresem uprawnień. Problem naprawiono w wersji 2026.7.
- CVE-2026-55227Średnie
Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 2026.7 kilka punktów końcowych wyszukuje obiekty w sposób globalny, zamiast ograniczać wyszukiwanie do projektów, do których użytkownik ma dostęp, przez co zwracają kod HTTP 403 (Zabronione) zamiast 404 (Nie znaleziono), gdy użytkownik żąda obiektu, którego nie jest upoważniony zobaczyć. Ta różnica pozwala nieautoryzowanym użytkownikom wywnioskować, czy dany obiekt istnieje w prywatnym projekcie Weblate. Problem został naprawiony w wersji 2026.7.
Oryginalny opis (angielski, źródło NVD)
Weblate is a web-based continuous localization platform used to manage software translations. In versions prior to 2026.8, a user permitted to manage component repository URLs can perform server-side request forgery against internal services through DNS rebinding during VCS operations. Weblate validates the hostname's first DNS resolution, but the external VCS clients that later connect perform a separate DNS lookup, so an attacker-controlled hostname that initially resolves to a public address can be re-pointed to an internal or private address before the connection is made. By triggering a clone, fetch, push, or similar remote operation, the attacker can cause Weblate to reach internal VCS-compatible services and potentially expose private repository contents. Installations that permit untrusted repository hostnames while using VCS_RESTRICT_PRIVATE=True are affected. This issue is fixed in version 2026.8.