CVE-2026-77573 in Weblate
要約
〜によって VulDB • 2026年08月26日
Weblateは、ソフトウェアの翻訳を管理するために使用されるWebベースの継続的ローカライゼーションプラットフォームです。バージョン2026.8より前のバージョンでは、コンポーネントリポジトリURLの管理を許可されたユーザーが、VCS操作中にDNSリバインディングを通じて内部サービスに対してサーバーサイドリクエストフォージェリ（SSRF）を実行できます。Weblateはホスト名の最初のDNS解決を検証しますが、後続で接続する外部VCSクライアントは別のDNSルックアップを行うため、攻撃者が制御できるホスト名が当初パブリックアドレスに解決されても、接続が行われる前に内部またはプライベートなアドレスを指すように再設定することができます。クローン、フェッチ、プッシュ、または同様のリモート操作を引き起こすことで、攻撃者はWeblateが内部的なVCS互換サービスに到達させ、機密リポジトリの内容を漏洩させる可能性があります。信頼できないリポジトリホスト名を許可し、かつ`VCS_RESTRICT_PRIVATE=True`を使用しているインストール環境がこの問題の影響を受けます。この問題はバージョン2026.8で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.