CVE-2026-86035 in Weblate
الملخص
بحسب VulDB • 29/09/2026
يُعد Weblate منصة ترجمة مستمرة تعتمد على الويب تُستخدم لإدارة ترجمات البرمجيات. يحتوي الإصدار من Weblate 4.11.1 حتى 2026.7.1 على ثغرة حقن حجة (argument-injection) في الخلفية الخاصة بـ Mercurial. قد يتم تفسير أسماء المستودعات التي تبدأ بالرمز `-` كخيارات لبرنامج Mercurial بدلاً من كونها مسارات حرفية. يمكن لمستخدم مُصادق عليه يمتلك صلاحية `component.edit` ضمن نطاق المشروع استغلال هذه الثغرة عبر مكون RESX مدعوم بـ Mercurial باستخدام الإضافة "تحديث ملفات RESX". قد يؤدي تحديث المستودعات لاحقًا إلى تنفيذ أوامر عشوائية بصلاحيات حساب خدمة Weblate. تُعد هذه المشكلة إصلاحًا غير كامل ومتبقي من ثغرة CVE-2022-23915. تم تصحيح هذا العيب في الإصدار 2026.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.