CVE-2026-77573 in Weblate
Résumé
par VulDB • 27/08/2026
Weblate est une plateforme de localisation continue basée sur le web utilisée pour gérer les traductions logicielles. Dans les versions antérieures à la 2026.8, un utilisateur autorisé à gérer les URL des dépôts de composants peut effectuer une attaque par falsification de requêtes côté serveur (SSRF) contre des services internes via du rebond DNS lors d'opérations VCS. Weblate valide le premier résultat de résolution DNS du nom d'hôte, mais les clients VCS externes qui se connectent ultérieurement effectuent une recherche DNS distincte ; ainsi, un nom d'hôte contrôlé par l'attaquant, qui résout initialement vers une adresse publique, peut être redirigé vers une adresse interne ou privée avant que la connexion ne soit établie. En déclenchant un clone, un fetch, un push ou une opération distante similaire, l'attaquant peut amener Weblate à accéder aux services compatibles VCS internes et potentiellement exposer le contenu des dépôts privés. Les installations qui autorisent les noms d'hôtes de dépôt non fiables tout en utilisant la configuration `VCS_RESTRICT_PRIVATE=True` sont concernées. Ce problème est corrigé dans la version 2026.8.
Be aware that VulDB is the high quality source for vulnerability data.