CVE-2025-66407

Weblate, web tabanlı bir yerelleştirme aracıdır. Weblate'deki Bileşen Oluşturma işlevi, yetkili kullanıcıların hem bir versiyon kontrol sistemi hem de çekilecek kaynak kod deposu URL'sini belirterek yeni çeviri bileşenleri eklemesine olanak tanır. Ancak, 5.15 sürümünden önce, depo URL alanı doğrulanmamakta veya temizlenmemektedir; bu durum, saldırganın localhost, dahili ağ adresleri ve yerel dosya adları dahil olmak üzere rastgele protokoller, ana bilgisayar adları ve IP adresleri sağlamasına izin verir. Mercurial versiyon kontrol sistemi seçildiğinde, Weblate sağlanan URL için sunucu tarafındaki tam HTTP yanıtını açığa çıkarır. Bu durum, dahili servisleri tarayabilen ve içeriklerini döndürebilen etkili bir sunucu tarafı istek sahteciliği (SSRF) primitifi oluşturur. Dahili HTTP uç noktalarına erişimin yanı sıra, bu davranış file:// istekleri deneyerek yerel dosya numaralandırmasını da mümkün kılar. Dosya içerikleri her zaman döndürülmese de, uygulamanın hata mesajları mevcut dosyalar ile mevcut olmayan dosyaları net bir şekilde ayırt ederek sunucunun dosya sistemi düzeni hakkında bilgi ifşa eder. Bulut ortamlarında, bulut meta veri servisleri gibi yalnızca dahiliye açık uç noktalara erişilebileceği için bu davranış özellikle tehlikelidir ve potansiyel olarak kimlik bilgileri sızıntısına ve tüm ortamın ele geçirilmesine yol açabilir. Bu sorun Weblate 5.15 sürümünde giderilmiştir. Geçici bir çözüm olarak, Mercurial `VCS_BACKENDS` listesinden kaldırılmalıdır; Git arka ucu bundan etkilenmemiştir. Git arka ucu zaten file protokolünü engelleyecek şekilde yapılandırılmıştır ve hata mesajında HTTP yanıt içeriğini açığa çıkarmaz.