CVE-2026-77573 in Weblate
요약
\~에 의해 VulDB • 2026. 08. 26.
Weblate는 소프트웨어 번역을 관리하기 위해 사용되는 웹 기반 지속적 로컬라이제이션 플랫폼입니다. 버전 2026.8 이전의 Weblate에서는 구성 요소 저장소 URL 관리를 허용된 사용자가 VCS(버전 제어 시스템) 작업 중 DNS 리바인딩(DNS rebinding)을 통해 내부 서비스에 대해 서버 사이드 요청 위조(SSRF: Server-Side Request Forgery)를 수행할 수 있습니다. Weblate는 호스트명의 첫 번째 DNS 조회 결과를 검증하지만, 이후 연결하는 외부 VCS 클라이언트는 별도의 DNS 조회를 수행하므로, 공격자가 제어하는 호스트명이 초기에는 공개 주소로 해석되더라도 실제 연결이 이루어지기 전에 내부 또는 사설 주소로 재지정될 수 있습니다. 이를 통해 공격자는 clone, fetch, push 등 유사한 원격 작업을 트리거하여 Weblate가 내부 VCS 호환 서비스에 접근하도록 유도하고, 결과적으로 비공개 저장소 내용을 노출시킬 가능성이 있습니다. 신뢰할 수 없는 저장소 호스트명을 허용하면서 `VCS_RESTRICT_PRIVATE=True`를 사용하는 설치 환경이 영향을 받습니다. 이 문제는 버전 2026.8에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.