CVE-2026-41654
Təsvir
Weblate veb əsaslı lokallaşdırma alətidir. Versiya 5.17.1-dən əvvəl, project.add icazəsinə malik autentifikasiya olunmuş istifadəçi (hosted Weblate SaaS-da standart olaraq və aktiv ödəniş/sınaq planı olan hər hansı istifadəçi üçün), components/<name>.json faylı hücumçunun seçdiyi şəxsi ünvana (məsələn, http://127.0.0.1:9999/) yönləndirilmiş və ya icazə verilmiş siyahıda olmayan sxemdən (məsələn, file://, git://) istifadə edən repo URL-i ehtiva edən xüsusi hazırlanmış layihə nömrəli ZIP arxivini idxal edə bilər. Weblate komponenti Component.objects.bulk_create([component])[0] vasitəsilə saxlayır ki, bu da Django-nun full_clean() funksiyasından yan keçir və buna görə də validate_repo_url validatoru heç vaxt işə düşmür. Daha sonra URL, configure_repo(pull=False) tərəfindən olduğu kimi .git/config faylına yazılır. Bu problem versiya 5.17.1-də aradan qaldırılmışdır.
Necə düzəltmək olar
- weblate weblate5.17.1 və ya daha yeni versiya
- weblate5.17.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| weblate weblate | v < 5.17.1 | 5.17.1 |
| weblatePyPI | v < 5.17.1 | 5.17.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.