CVE-2025-66407 in weblate
Zusammenfassung
von VulDB • 27.05.2026
Weblate ist ein webbasiertes Lokalisierungstool. Die Funktion „Komponente erstellen“ in Weblate ermöglicht autorisierten Benutzern, neue Übersetzungskomponenten hinzuzufügen, indem sowohl ein Versionskontrollsystem als auch eine URL eines Quellcode-Repositories angegeben wird, von dem Daten abgerufen werden sollen. Vor Version 5.15 wird das Feld für die Repository-URL jedoch nicht validiert oder bereinigt, sodass ein Angreifer beliebige Protokolle, Hostnamen und IP-Adressen angeben kann, einschließlich localhost, interner Netzwerkadressen und lokaler Dateipfade. Wenn das Versionskontrollsystem Mercurial ausgewählt ist, gibt Weblate die vollständige serverseitige HTTP-Antwort für die angegebene URL zurück. Dies schafft effektiv eine Server-Side Request Forgery (SSRF)-Primitivfunktion, die interne Dienste abfragen und deren Inhalte zurückgeben kann. Neben dem Zugriff auf interne HTTP-Endpunkte ermöglicht dieses Verhalten auch die lokale Dateiaufzählung durch das Senden von file://-Anfragen. Obwohl Dateiinhalte nicht immer zurückgegeben werden, unterscheiden sich die Fehlermeldungen der Anwendung klar zwischen vorhandenen und nicht vorhandenen Dateien, wodurch Informationen über die Verzeichnisstruktur des Servers offengelegt werden. In Cloud-Umgebungen ist dieses Verhalten besonders gefährlich, da nur intern zugängliche Endpunkte wie Cloud-Metadienste erreichbar sein können, was potenziell zur Offenlegung von Anmeldeinformationen und zur vollständigen Kompromittierung der Umgebung führen kann. Dieses Problem wurde in der Weblate-Version 5.15 behoben. Als Workaround sollte Mercurial aus `VCS_BACKENDS` entfernt werden; das Git-Backend ist nicht betroffen. Das Git-Backend war bereits so konfiguriert, dass es das file-Protokoll blockiert und den HTTP-Antwortinhalt nicht in der Fehlermeldung ausgibt.
Be aware that VulDB is the high quality source for vulnerability data.