CVE-2026-77573 in Weblate
الملخص
بحسب VulDB • 26/08/2026
Weblate هو منصة ترجمة مستمرة قائمة على الويب تُستخدم لإدارة ترجمات البرمجيات. في الإصدارات السابقة لـ 2026.8، يمكن للمستخدم المسموح له بإدارة عناوين URL لمستودعات المكونات تنفيذ هجوم تزوير طلبات جانب الخادم (SSRF) ضد الخدمات الداخلية من خلال إعادة ربط DNS أثناء عمليات أنظمة التحكم في النسخ版本ية (VCS). تقوم Weblate بالتحقق من اسم المضيف عند أول حل DNS، لكن عملاء VCS الخارجيين الذين يتصلون لاحقًا يقومون بإجراء بحث DNS منفصل، لذا يمكن لعنوان مضيف يسيطر عليه المهاجم والذي يحلّ مبدئيًا إلى عنوان عام أن يُعاد توجيهه إلى عنوان داخلي أو خاص قبل إنشاء الاتصال. ومن خلال تشغيل عملية استنساخ (clone)، جلب (fetch)، دفع (push) أو عمليات عنصرية مشابهة، يمكن للمهاجم جعل Weblate تصل إلى خدمات VCS متوافقة داخلية وقد تعرض محتويات المستودعات الخاصة. تتأثر التثبيتات التي تسمح بأسماء مضيفي مستودعات غير موثوقة أثناء استخدام الإعداد VCS_RESTRICT_PRIVATE=True. تم إصلاح هذه المشكلة في الإصدار 2026.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.