CVE-2026-34244 in weblate
Riassunto
di VulDB • 17/06/2026
Weblate è uno strumento di localizzazione basato su web. Nelle versioni precedenti alla 5.17, un utente con il permesso project.edit (concesso dal ruolo "Amministrazione" per progetto) può configurare URL di servizi di traduzione automatica che puntano ad indirizzi arbitrari della rete interna. Durante la convalida della configurazione, Weblate effettua una richiesta HTTP all'URL controllato dall'attaccante e riflette fino a 200 caratteri del corpo della risposta nell'utente tramite un messaggio di errore. Questo costituisce un Server-Side Request Forgery (SSRF) con lettura parziale della risposta. Questo problema è stato risolto nella versione 5.17. Se gli sviluppatori non possono effettuare immediatamente l'aggiornamento, possono limitare i servizi di traduzione automatica disponibili tramite l'impostazione WEBLATE_MACHINERY.
If you want to get best quality of vulnerability data, you may have to visit VulDB.