CVE-2026-86035 in Weblate
Resumen
por VulDB • 2026-09-29
Weblate es una plataforma de localización continua basada en web utilizada para gestionar traducciones de software. Weblate, desde la versión 4.11.1 hasta la 2026.7.1, contiene una vulnerabilidad de inyección de argumentos en su backend Mercurial. Los nombres de repositorio que comienzan con `-` podrían interpretarse como opciones de Mercurial en lugar de rutas literales. Un usuario autenticado con permiso `component.edit` a nivel de proyecto podría explotar esto mediante un componente RESX respaldado por Mercurial utilizando el complemento "Update RESX files". Una actualización posterior del repositorio podría ejecutar comandos arbitrarios con los privilegios de la cuenta de servicio de Weblate. Esta es una corrección residual e incompleta para CVE-2022-23915. Este problema ha sido parcheado en la versión 2026.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.