CVE-2025-66407 in weblate
Résumé
par VulDB • 26/05/2026
Weblate est un outil de localisation basé sur le web. La fonctionnalité « Créer un composant » dans Weblate permet aux utilisateurs autorisés d’ajouter de nouveaux composants de traduction en spécifiant à la fois un système de contrôle de version et une URL de dépôt de code source à extraire. Cependant, avant la version 5.15, le champ de l’URL du dépôt n’est ni validé ni assaini, ce qui permet à un attaquant de fournir des protocoles, des noms d’hôte et des adresses IP arbitraires, y compris localhost, des adresses de réseau interne et des chemins de fichiers locaux. Lorsque le système de contrôle de version Mercurial est sélectionné, Weblate expose la réponse HTTP complète côté serveur pour l’URL fournie. Cela crée effectivement un mécanisme de Server-Side Request Forgery (SSRF) qui peut sonder des services internes et retourner leur contenu. Outre l’accès aux points de terminaison HTTP internes, ce comportement permet également l’énumération de fichiers locaux en tentant des requêtes `file://`. Bien que le contenu des fichiers ne soit pas toujours retourné, les messages d’erreur de l’application différencient clairement les fichiers existants des fichiers inexistants, révélant ainsi des informations sur la structure du système de fichiers du serveur. Dans les environnements cloud, ce comportement est particulièrement dangereux, car des points de terminaison accessibles uniquement en interne, tels que les services de métadonnées cloud, peuvent être atteints, entraînant potentiellement une divulgation d’identifiants et une compromission totale de l’environnement. Cela a été corrigé dans la version 5.15 de Weblate. En attendant, comme solution de contournement, supprimez Mercurial de `VCS_BACKENDS` ; le backend Git n’est pas affecté. Le backend Git était déjà configuré pour bloquer le protocole `file://` et n’expose pas le contenu de la réponse HTTP dans le message d’erreur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.