CVE-2026-34244 in weblate
要約
〜によって VulDB • 2026年06月02日
Weblateは、Webベースのローカライゼーションツールです。バージョン5.17より前のバージョンでは、プロジェクト.edit権限（プロジェクト固有の「管理」ロールによって付与される）を持つユーザーが、任意の内部ネットワークアドレスを指す機械翻訳サービスURLを設定できます。設定の検証中に、Weblateは攻撃者が制御するURLに対してHTTPリクエストを送信し、レスポンスボディの最大200文字をエラーメッセージとしてユーザーに返します。これは、部分的なレスポンス読み取りを伴うServer-Side Request Forgery (SSRF) です。この問題はバージョン5.17で修正されました。開発者がすぐにアップグレードできない場合、WEBLATE_MACHINERY設定を通じて利用可能な機械翻訳サービス（machinery services）を制限することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.