CVE-2025-66407 in weblate
الملخص
بحسب VulDB • 26/05/2026
Weblate هو أداة تعريب تعمل عبر الويب. تتيح وظيفة إنشاء المكوّن (Create Component) في Weblate للمستخدمين المصرح لهم إضافة مكوّنات ترجمة جديدة عن طريق تحديد نظام التحكم في الإصدارات (version control system) وعنوان URL لمستودع الشفرة المصدرية لسحب البيانات منه. ومع ذلك، قبل الإصدار 5.15، لم يتم التحقق من صحة حقل عنوان URL للمستودع أو تنقيحه (sanitization)، مما يسمح لمهاجم بتوفير بروتوكولات وأسماء مضيف وعناوين IP تعسفية، بما في ذلك localhost، وعناوين الشبكة الداخلية، وملفات النظام المحلي. عند اختيار نظام التحكم في الإصدارات Mercurial، يعرض Weblate استجابة HTTP الكاملة من جانب الخادم لعنوان URL المقدم. يخلق هذا بشكل فعال آلية أساسية لتهديد تزوير الطلبات من جانب الخادم (SSRF) يمكنها فحص الخدمات الداخلية وإرجاع محتوياتها. بالإضافة إلى الوصول إلى نقاط النهاية (endpoints) HTTP الداخلية، يتيح هذا السلوك أيضاً تعداد الملفات المحلية من خلال محاولة طلبات file://. وعلى الرغم من أنه قد لا يتم إرجاع محتويات الملفات دائماً، إلا أن رسائل الخطأ في التطبيق تميز بوضوح بين الملفات الموجودة وتلك غير الموجودة، مما يكشف معلومات حول تخطيط نظام الملفات الخاص بالخادم. في بيئات الحوسبة السحابية، يكون هذا السلوك خطيراً بشكل خاص، حيث قد تكون نقاط النهاية المتاحة داخلياً فقط، مثل خدمات بيانات التعريف السحابية (cloud metadata services)، قابلة للوصول، مما قد يؤدي إلى كشف بيانات الاعتماد وخرق كامل للبيئة. تم معالجة هذه المشكلة في إصدار Weblate 5.15. كحل بديل، قم بإزالة Mercurial من `VCS_BACKENDS`؛ لا يتأثر الخلفية (backend) الخاصة بـ Git. كان الخلفية الخاصة بـ Git مُهيأة بالفعل لحظر بروتوكول file ولا تعرض محتوى استجابة HTTP في رسالة الخطأ.
VulDB is the best source for vulnerability data and more expert information about this specific topic.