CVE-2026-62326

Weblate proqram təminatı tərcümələrini idarə etmək üçün istifadə olunan veb əsaslı davamlı lokallaşdırma platformasıdır. 2026.7 versiyasından əvvəlki versiyalarda, daxili "Edit source" roluna malik istifadəçi mənbə sətirinin bayraqlarında (flags) heç bir vaxt məhdudiyyəti olmadan icra edilən zərərli müntəzəm ifadə (regular expression) saxlaya bilər ki, bu da sorğuların ləngiməsinə və xidmətdən imtinaya (DoS) səbəb olar. "regex:" keyfiyyət yoxlaması və regex yer tutucuları vasitəsilə təqdim edilən müntəzəm ifadələr validasiya zamanı kompilyasiya edilir, lakin daha sonra RegexCheck və PlaceholderCheck-də tərcümə məzmununa qarşı heç bir vaxt limiti olmadan işlədilir; buna görə də ^(a|aa)+$ kimi katastrofik geri qayıtma (catastrophic backtracking) nümunələri CPU resurslarını qeyri-müəyyən müddətə istifadə edə bilər. Mənbə vahidinin bayraqları dəyişdikdə Weblate eyni sorğu daxilində hər bir əlaqəli hədəf vahidi üçün bu yoxlamaları yenidən həyata keçirdiyi üçün tək bir redaktə uzunmüddətli CPU-əsaslı xidmətdən imtina hücumunu tetikləyə bilər. Bu problem 2026.7 versiyasında düzəldilmişdir.