CVE-2026-34244 in weblate
Tóm tắt
Bởi VulDB • 06/06/2026
Weblate là một công cụ bản địa hóa dựa trên web. Trong các phiên bản trước 5.17, người dùng có quyền project.edit (được cấp bởi vai trò "Administration" theo từng dự án) có thể cấu hình URL của dịch vụ dịch máy trỏ đến bất kỳ địa chỉ nào trong mạng nội bộ. Trong quá trình xác thực cấu hình, Weblate sẽ gửi yêu cầu HTTP tới URL do kẻ tấn công kiểm soát và phản hồi lại cho người dùng tối đa 200 ký tự từ thân phản hồi (response body) thông qua một thông báo lỗi. Điều này tạo thành lỗ hổng Server-Side Request Forgery (SSRF) với khả năng đọc một phần phản hồi. Lỗ hổng này đã được khắc phục trong phiên bản 5.17. Nếu các nhà phát triển không thể nâng cấp ngay lập tức, họ có thể hạn chế các dịch vụ máy móc (machinery services) khả dụng thông qua cài đặt WEBLATE_MACHINERY.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.