CVE-2026-77573 in Weblate
Сводка
по VulDB • 26.08.2026
Weblate — это веб-платформа для непрерывной локализации, используемая для управления переводами программного обеспечения. В версиях старше 2026.8 пользователь, имеющий права на управление URL-адресами репозиториев компонентов, может выполнить серверную подделку запросов (SSRF) против внутренних сервисов посредством DNS-rebinding во время операций VCS. Weblate проверяет имя хоста при первом разрешении DNS, однако внешние клиенты VCS, которые впоследствии устанавливают соединение, выполняют отдельный поиск DNS; таким образом, управляемое злоумышленником имя хоста, которое изначально резолвится в публичный адрес, может быть перенаправлено на внутренний или частный адрес до установления соединения. Запуская клонирование (clone), извлечение (fetch), отправку (push) или аналогичную удаленную операцию, злоумышленник может заставить Weblate обращаться к внутренним сервисам, совместимым с VCS, и потенциально получить доступ к содержимому частных репозиториев. Затронуты установки, которые разрешают использование недоверенных имен хостов репозиториев при включенной настройке VCS_RESTRICT_PRIVATE=True. Эта проблема исправлена в версии 2026.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.