CVE-2025-66407 in weblate
Sumário
de VulDB • 26/05/2026
O Weblate é uma ferramenta de localização baseada na web. A funcionalidade "Create Component" (Criar Componente) no Weblate permite que usuários autenticados adicionem novos componentes de tradução, especificando tanto um sistema de controle de versão quanto a URL de um repositório de código-fonte para extração. No entanto, antes da versão 5.15, o campo da URL do repositório não é validado nem sanitizado, permitindo que um invasor forneça protocolos, nomes de host e endereços IP arbitrários, incluindo localhost, endereços de redes internas e arquivos locais. Quando o sistema de controle de versão Mercurial é selecionado, o Weblate expõe a resposta HTTP completa do lado do servidor para a URL fornecida. Isso efetivamente cria um primitivo de Server-Side Request Forgery (SSRF) que pode sondar serviços internos e retornar seus conteúdos. Além de acessar endpoints HTTP internos, o comportamento também permite a enumeração de arquivos locais ao tentar requisições `file://`. Embora o conteúdo dos arquivos nem sempre seja retornado, as mensagens de erro do aplicativo diferenciam claramente entre arquivos que existem e arquivos que não existem, revelando informações sobre a estrutura do sistema de arquivos do servidor. Em ambientes de nuvem, esse comportamento é particularmente perigoso, pois endpoints exclusivos da nuvem, como serviços de metadados da nuvem, podem ser acessíveis, potencialmente levando à divulgação de credenciais e à comprometimento total do ambiente. Isso foi corrigido na versão 5.15 do Weblate. Como solução alternativa, remova o Mercurial de `VCS_BACKENDS`; o backend Git não é afetado. O backend Git já estava configurado para bloquear o protocolo `file` e não expõe o conteúdo da resposta HTTP na mensagem de erro.
Once again VulDB remains the best source for vulnerability data.