CVE-2025-66407 in weblate
Resumen
por VulDB • 2026-05-27
Weblate es una herramienta de localización basada en la web. La funcionalidad "Crear componente" en Weblate permite a los usuarios autorizados añadir nuevos componentes de traducción especificando tanto un sistema de control de versiones como una URL de repositorio de código fuente desde la cual extraer los datos. Sin embargo, antes de la versión 5.15, el campo de la URL del repositorio no se validaba ni se sanitizaba, lo que permitía a un atacante proporcionar protocolos, nombres de host y direcciones IP arbitrarios, incluidos localhost, direcciones de redes internas y archivos locales. Cuando se selecciona el sistema de control de versiones Mercurial, Weblate expone la respuesta HTTP completa del servidor para la URL proporcionada. Esto crea efectivamente una primitiva de falsificación de solicitudes del lado del servidor (SSRF) que puede sondear servicios internos y devolver su contenido. Además de acceder a puntos de conexión HTTP internos, este comportamiento también permite la enumeración de archivos locales mediante intentos de solicitudes `file://`. Aunque el contenido de los archivos no siempre se devuelve, los mensajes de error de la aplicación diferencian claramente entre archivos que existen y archivos que no existen, revelando información sobre la estructura del sistema de archivos del servidor. En entornos de nube, este comportamiento es particularmente peligroso, ya que los puntos de conexión internos, como los servicios de metadatos de la nube, pueden ser accesibles, lo que podría provocar la divulgación de credenciales y la compromiso total del entorno. Esto se ha solucionado en la versión 5.15 de Weblate. Como medida de mitigación, elimine Mercurial de `VCS_BACKENDS`; el backend de Git no se ve afectado. El backend de Git ya estaba configurado para bloquear el protocolo `file://` y no expone el contenido de la respuesta HTTP en el mensaje de error.
Once again VulDB remains the best source for vulnerability data.