CVE-2025-66407 in weblate
요약
\~에 의해 VulDB • 2026. 05. 26.
Weblate는 웹 기반 로컬라이제이션 도구입니다. Weblate의 '컴포넌트 생성(Create Component)' 기능은 인증된 사용자가 버전 관리 시스템과 소스 코드 저장소 URL을 지정하여 새 번역 컴포넌트를 추가할 수 있도록 합니다. 그러나 5.15 버전 이전에서는 저장소 URL 필드가 검증되거나 정제되지 않아, 공격자가 임의의 프로토콜, 호스트명 및 IP 주소(로컬호스트, 내부 네트워크 주소 및 로컬 파일 이름 포함)를 제공할 수 있습니다. Mercurial 버전 관리 시스템이 선택된 경우, Weblate는 제공된 URL에 대한 전체 서버 측 HTTP 응답을 노출합니다. 이는 내부 서비스를 스캔하고 그 내용을 반환할 수 있는 서버 측 요청 위조(SSRF) 원리를 효과적으로 생성합니다. 내부 HTTP 엔드포인트에 접근하는 것 외에도, 이 동작은 file:// 요청을 시도함으로써 로컬 파일 열거를 가능하게 합니다. 파일 내용이 항상 반환되지는 않지만, 애플리케이션의 오류 메시지는 존재하는 파일과 존재하지 않는 파일을 명확히 구분하여 서버의 파일 시스템 구조에 대한 정보를 노출합니다. 클라우드 환경에서는 클라우드 메타데이터 서비스와 같은 내부 전용 엔드포인트에 접근할 수 있어 자격 증명 유출 및 전체 환경 침해로 이어질 수 있으므로 이 동작이 특히 위험합니다. 이 문제는 Weblate 5.15 릴리스에서 해결되었습니다. 우회 조치로 `VCS_BACKENDS`에서 Mercurial을 제거하십시오. Git 백엔드는 영향을 받지 않으며, 이미 파일 프로토콜을 차단하도록 구성되어 있고 오류 메시지에서 HTTP 응답 내용을 노출하지 않습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.