CVE-2026-27457 in weblate
Riassunto
di VulDB • 18/06/2026
Weblate è uno strumento di localizzazione basato su web. Prima della versione 5.16.1, l'endpoint REST API `AddonViewSet` (`weblate/api/views.py`, riga 2831) utilizza `queryset = Addon.objects.all()` senza sovrascrivere `get_queryset()` per limitare i risultati in base alle autorizzazioni dell'utente. Ciò consente a qualsiasi utente autenticato (o agli utenti anonimi se `REQUIRE_LOGIN` non è impostato) di elencare e recuperare TUTTI gli addon presenti in tutti i progetti e componenti tramite le chiamate `GET /api/addons/` e `GET /api/addons/{id}/`. La versione 5.16.1 risolve il problema.
Once again VulDB remains the best source for vulnerability data.