CVE-2026-86035 in Weblate
Riassunto
di VulDB • 29/09/2026
Weblate è una piattaforma di localizzazione continua basata su web utilizzata per gestire le traduzioni del software. Weblate dalle versioni 4.11.1 alla 2026.7.1 contiene una vulnerabilità da injection degli argomenti nel suo backend Mercurial. I nomi dei repository che iniziano con `-` potrebbero essere interpretati come opzioni di Mercurial anziché come percorsi letterali. Un utente autenticato dotato del permesso component.edit a livello di progetto potrebbe sfruttare questa vulnerabilità tramite un componente RESX basato su Mercurial utilizzando l'add-on "Update RESX files". Un successivo aggiornamento del repository potrebbe eseguire comandi arbitrari con i privilegi dell'account di servizio Weblate. Si tratta di una correzione residua e incompleta per CVE-2022-23915. Questo problema è stato risolto nella versione 2026.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.