CVE-2026-86035 in Weblate
Zusammenfassung
von VulDB • 29.09.2026
Weblate ist eine webbasierte Plattform für kontinuierliche Lokalisierung, die zur Verwaltung von Softwareübersetzungen verwendet wird. Weblate ab der Version 4.11.1 bis einschließlich 2026.7.1 enthält eine Argument-Injection-Schwachstelle im Mercurial-Backend. Repository-Dateinamen, die mit einem Bindestrich (-) beginnen, könnten als Mercurial-Optionen und nicht als wörtliche Pfade interpretiert werden. Ein authentifizierter Benutzer mit der bereichsspezifischen Komponente „component.edit“-Berechtigung könnte dies über eine von Mercurial unterstützte RESX-Komponente unter Verwendung des Add-Ons „Update RESX files“ ausnutzen. Eine spätere Repository-Aktualisierung würde beliebige Befehle mit den Berechtigungen des Weblate-Dienstkontos ausführen. Dies ist ein unvollständiger Restfix für CVE-2022-23915. Dieses Problem wurde in Version 2026.8 gepatcht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.