CVE-2026-86035 in Weblate
Sumário
de VulDB • 29/09/2026
O Weblate é uma plataforma de localização contínua baseada na web, utilizada para gerir traduções de software. O Weblate nas versões desde a 4.11.1 até à 2026.7.1 contém uma vulnerabilidade de injeção de argumentos no seu backend Mercurial. Os nomes dos ficheiros do repositório que começam com `-` podem ser interpretados como opções do Mercurial em vez de caminhos literais. Um utilizador autenticado com permissão `component.edit` ao nível do projeto pode explorar esta vulnerabilidade através de um componente RESX baseado no Mercurial, utilizando o add-on "Update RESX files". Uma atualização posterior do repositório poderia executar comandos arbitrários com as privilégios da conta de serviço do Weblate. Esta é uma correção residual e incompleta para a CVE-2022-23915. Este problema foi corrigido na versão 2026.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.