Podatności Weblate

Weblate to internetowe narzędzie do lokalizacji. Przed wersją 5.15.2, obrazy zrzutów ekranu były serwowane bezpośrednio przez serwer HTTP bez odpowiedniej kontroli dostępu. Mogło to pozwolić nieuwierzytelnionemu użytkownikowi na dostęp do zrzutów ekranu po odgadnięciu ich nazw plików. Luka została naprawiona w wersji 5.15.2.

Weblate przed wersją 5.15 umożliwia akceptację zaproszenia otwartego przez innego użytkownika. Wersja 5.15 zawiera poprawkę.

Weblate w wersjach od 4.11.1 do 2026.7.1 zawiera podatność na wstrzyknięcie argumentów w backendzie Mercurial. Nazwy plików repozytorium zaczynające się od znaku - mogą być interpretowane jako opcje Mercurial zamiast ścieżek. Uwierzytelniony użytkownik z uprawnieniem component.edit w zakresie projektu może to wykorzystać przez komponent RESX korzystający z Mercurial i dodatek Update RESX files, co może doprowadzić do wykonania dowolnych poleceń z uprawnieniami konta usługi Weblate. Podatność została naprawiona w wersji 2026.8.

Weblate przed wersją 2026.8 pozwala użytkownikowi z uprawnieniami do zarządzania adresami URL repozytoriów komponentów na przeprowadzenie ataku SSRF na usługi wewnętrzne przez DNS rebinding podczas operacji VCS. Walidacja hosta opiera się na pierwszym rozwiązaniu DNS, ale klienci VCS wykonują osobne zapytanie, co pozwala na przekierowanie na adres wewnętrzny.

Weblate przed wersją 2026.8 nie stosuje kontroli uprawnień w obiektowych kanałach RSS, co pozwala nieautoryzowanym użytkownikom na odczyt metadanych historii zmian z prywatnych projektów i ograniczonych komponentów. W instalacjach z anonimowym dostępem metadane mogą być pobierane bez uwierzytelnienia. Problem naprawiono w wersji 2026.8.

Weblate przed wersją 2026.7 pozwala użytkownikowi z rolą "Edit source" na przechowywanie złośliwego wyrażenia regularnego w flagach ciągu źródłowego, które jest wykonywane bez limitu czasu, co umożliwia blokowanie żądań i odmowę usługi. Problem naprawiono w wersji 2026.7.

Weblate przed wersją 2026.7 pozwala uwierzytelnionemu użytkownikowi z dostępem do projektu na pobieranie historii zmian ograniczonych komponentów w tym projekcie przez zagnieżdżone punkty końcowe API zmian, nawet bez uprawnień do bezpośredniego podglądu tych komponentów. Problem naprawiono w wersji 2026.7.

Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7 administrator projektu może odczytywać pliki poza swoim repozytorium poprzez funkcję pobierania metadanych App store, która rozwiązuje ścieżki wpływane przez atakującego bez odpowiedniego ograniczenia do repozytorium. Jest to niekompletna poprawka dla CVE-2026-34242, której oryginalna łatka nie w pełni zapobiegła path traversal, umożliwiając dowolny odczyt plików. Użytkownik z uprawnieniami administratora projektu może ujawnić zawartość plików na hoście Weblate poza repozytorium projektu. Problem naprawiono w wersji 2026.7.

Weblate przed wersją 2026.7 nie egzekwuje wymogu dwuskładnikowego uwierzytelniania (2FA) dla globalnych uprawnień, mimo że zespół może wymagać 2FA dla swoich członków. Użytkownik należący do zespołu z wymogiem 2FA otrzymuje globalne uprawnienia bez skonfigurowanego 2FA, co może obejmować dostęp do interfejsu zarządzania. Problem naprawiono w wersji 2026.7.

Weblate to platforma ciągłej lokalizacji oparta na sieci Web. W wersjach przed 2026.7, REST API nie egzekwowało odpowiednio zakresu zespołów projektowych i obszarów roboczych, umożliwiając użytkownikowi przesyłanie nieprawidłowych konfiguracji zespołów przez API. Przypisując projekty do zespołu za pomocą tych niezweryfikowanych żądań, użytkownik mógł przyznać dostęp do projektów, do których nie był upoważniony. Może to ujawnić prywatne projekty i umożliwić operacje tłumaczenia, repozytorium i zarządzania projektem poza zamierzonym zakresem uprawnień. Problem naprawiono w wersji 2026.7.

Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 2026.7 kilka punktów końcowych wyszukuje obiekty w sposób globalny, zamiast ograniczać wyszukiwanie do projektów, do których użytkownik ma dostęp, przez co zwracają kod HTTP 403 (Zabronione) zamiast 404 (Nie znaleziono), gdy użytkownik żąda obiektu, którego nie jest upoważniony zobaczyć. Ta różnica pozwala nieautoryzowanym użytkownikom wywnioskować, czy dany obiekt istnieje w prywatnym projekcie Weblate. Problem został naprawiony w wersji 2026.7.

Weblate przed wersją 2026.8 pozwala uwierzytelnionemu użytkownikowi na zmianę głównego adresu e-mail konta przez żądania PUT lub PATCH do /api/users/{username}/ bez weryfikacji nowego adresu, co umożliwia późniejsze przyjęcie zaproszenia do zespołu bez dostępu do skrzynki odbiorczej.

Weblate to narzędzie do lokalizacji oparte na sieci. W wersjach od 5.15 do przed wersją 2026.6, VCS_RESTRICT_PRIVATE nieprawidłowo uwzględniał niektóre przejściowe zakresy IPv6, adresy multicastowe oraz niektóre półprywatne zakresy IPv4, co pozwalało na ominięcie ograniczeń dotyczących prywatnych zakresów adresów.

Weblate to narzędzie do lokalizacji oparte na sieci. Przed wersją 2026.5, podgląd na żywo w Weblate renderował źródło jednostki i kontekst jako HTML bez odpowiedniego zabezpieczenia, co mogło prowadzić do wykonania niebezpiecznego kodu.

W Weblate przed wersją 5.17.1 renderer Markdown używany w komentarzach użytkowników i innych treściach dostarczanych przez użytkownika nieprawidłowo sanityzował niektóre atrybuty. Podatność została naprawiona w wersji 5.17.1.

W Weblate przed wersją 5.17.1 API linków do zrzutów ekranu, zadań i komponentów umożliwiało wyliczenie tłumaczeń w projekcie niedostępnym dla użytkownika. Podatność została naprawiona w wersji 5.17.1.

Weblate to narzędzie do lokalizacji oparte na sieci. Przed wersją 5.17.1, uwierzytelniony użytkownik z uprawnieniami project.add mógł zaimportować zmodyfikowany plik ZIP kopii zapasowej projektu, który zawierał adres URL repozytorium wybrany przez atakującego, co prowadziło do potencjalnego ujawnienia danych.

W narzędziu Weblate przed wersją 5.17.1 zmiana hasła przez użytkownika prawidłowo unieważnia sesje przeglądarki przez cycle_session_keys(), ale tokeny API DRF (prefiks wlu_*) przechowywane w authtoken_token nie są unieważniane. Podatność została naprawiona w wersji 5.17.1.

Weblate przed wersją 5.17 weryfikuje granice repozytorium za pomocą sprawdzania prefiksu ciągu na rozwiązanych ścieżkach absolutnych. W wielu miejscach kod używa startswith względem ścieżki głównej repozytorium, co nie uwzględnia granic segmentów ścieżki i można to obejść, gdy zewnętrzna ścieżka ma ten sam prefiks (np. repo i repo_outside). Luka została naprawiona w wersji 5.17.

Weblate w wersjach przed 5.17 nie wykorzystywał istniejących zabezpieczeń przed SSRF w dodatku webhook. Może to pozwolić atakującemu na wymuszenie żądań do wewnętrznych zasobów. Problem został naprawiony w wersji 5.17.

Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 5.17 użytkownik z uprawnieniem project.edit (przyznawanym przez rolę "Administration" w projekcie) może skonfigurować adresy URL usług tłumaczenia maszynowego wskazujące na dowolne wewnętrzne adresy sieciowe. Podczas walidacji konfiguracji Weblate wykonuje żądanie HTTP do adresu kontrolowanego przez atakującego i odzwierciedla do 200 znaków treści odpowiedzi w komunikacie błędu. Stanowi to podatność Server-Side Request Forgery (SSRF) z częściowym odczytem odpowiedzi. Naprawiono w wersji 5.17.

W Weblate w wersjach przed 5.17 ustawienie ALLOWED_ASSET_DOMAINS było stosowane tylko do pierwszych żądań i nie ograniczało możliwych przekierowań. Może to pozwolić na obejście ograniczeń domenowych przy pobieraniu zasobów.

Weblate przed wersją 5.17 udostępniał nieoczekiwane endpointy API pamięci tłumaczeń, które nie przeprowadzały prawidłowej kontroli dostępu. Luka została naprawiona w wersji 5.17. Jeśli deweloperzy nie mogą natychmiast zaktualizować, mogą wyłączyć tę funkcję, ponieważ dodatek CDN nie jest domyślnie włączony.

W Weblate w wersjach przed 5.17 API pamięci tłumaczeń udostępniało niezamierzone punkty końcowe, które nie wymuszały odpowiedniej kontroli dostępu. Może to pozwolić na nieautoryzowany dostęp do danych pamięci tłumaczeń.

Weblate to internetowe narzędzie do lokalizacji. W wersjach przed 5.17 API zadań nie weryfikowało dostępu użytkownika do oczekujących zadań, co mogło ujawnić logi operacji w toku użytkownikom bez odpowiedniego zakresu uprawnień. Atakujący musiałby odgadnąć losowy UUID zadania, co jest mało prawdopodobne przy domyślnych limitach API.

Weblate, narzędzie do lokalizacji oparte na sieci, w wersjach przed 5.15 umożliwiało pobieranie ustawień powiadomień użytkownika lub listy wszystkich użytkowników przez API. Wersja 5.15 naprawia ten problem.

Weblate to narzędzie do lokalizacji oparte na sieci Web. W wersjach przed 5.15 możliwe było wywołanie aktualizacji wielu repozytoriów poprzez spreparowany ładunek webhooka. Wersja 5.15 naprawia ten problem.

Weblate przed wersją 5.15 nie waliduje ani nie sanityzuje pola URL repozytorium w funkcji tworzenia komponentu, co pozwala na podanie dowolnych protokołów, nazw hostów i adresów IP, w tym localhost i adresów sieci wewnętrznej. Przy wybranym systemie kontroli wersji Mercurial aplikacja ujawnia pełną odpowiedź HTTP serwera dla podanego URL, co tworzy podatność typu SSRF umożliwiającą sondowanie usług wewnętrznych i odczytywanie ich zawartości. Dodatkowo błędy aplikacji pozwalają na enumerację plików lokalnych poprzez żądania file://, a w środowiskach chmurowych możliwy jest dostęp do wewnętrznych punktów końcowych, takich jak usługi metadanych.

Weblate to internetowe narzędzie do lokalizacji. W wersjach 5.13.2 i starszych istnieje otwarte przekierowanie poprzez parametr redir na .within.website, gdy Weblate jest skonfigurowany z Anubis i REDIRECT_DOMAINS nie jest ustawione. Atakujący może stworzyć URL w legalnej domenie, który przekierowuje ofiarę do witryny kontrolowanej przez atakującego.

Weblate, narzędzie do lokalizacji oparte na sieci, zawiera podatność w wersjach przed 5.13.1, która powoduje długi czas wygaśnięcia sesji podczas weryfikacji drugiego czynnika. Długi czas sesji może być wykorzystany do obejścia ograniczeń szybkości dla drugiego czynnika. Problem został naprawiony w wersji 5.13.1.