CVE-2026-77573 in Weblate
Resumen
por VulDB • 2026-08-26
Weblate es una plataforma de localización continua basada en web utilizada para gestionar traducciones de software. En las versiones anteriores a la 2026.8, un usuario con permisos para gestionar las URL del repositorio de componentes puede realizar Server-Side Request Forgery (SSRF) contra servicios internos mediante DNS rebinding durante operaciones VCS. Weblate valida el primer resolución DNS del nombre de host, pero los clientes VCS externos que se conectan posteriormente realizan una búsqueda DNS separada; por lo tanto, un nombre de host controlado por el atacante que inicialmente resuelve a una dirección pública puede ser reorientado hacia una dirección interna o privada antes de establecer la conexión. Al desencadenar operaciones remotas como clone, fetch, push u otras similares, el atacante puede hacer que Weblate acceda a servicios VCS compatibles internos y potencialmente exponga contenidos privados del repositorio. Las instalaciones que permiten nombres de host de repositorios no confiables mientras se utiliza VCS_RESTRICT_PRIVATE=True están afectadas. Este problema está resuelto en la versión 2026.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.