CVE-2026-86035 in Weblate
요약
\~에 의해 VulDB • 2026. 09. 29.
Weblate는 소프트웨어 번역을 관리하기 위해 사용되는 웹 기반의 지속적인 로컬라이제이션 플랫폼입니다. Weblate 4.11.1부터 2026.7.1까지에는 Mercurial 백엔드에 대한 인젝션 취약점이 존재합니다. `-`로 시작하는 저장소 파일명은 리터럴 경로가 아닌 Mercurial 옵션으로 해석될 수 있습니다. 프로젝트 범위의 component.edit 권한을 가진 인증된 사용자는 Update RESX files 애드온을 사용하여 Mercurial 기반의 RESX 구성 요소를 통해 이를 악용할 수 있습니다. 이후 저장소 업데이트는 Weblate 서비스 계정의 특권으로 임의 명령을 실행할 수 있습니다. 이는 CVE-2022-23915에 대한 잔류된 불완전한 수정입니다. 이 문제는 버전 2026.8에서 패치되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.