Weblate — это веб-платформа непрерывной локализации, используемая для управления переводами программного обеспечения. В версиях до 2026.7 администратор проекта может читать файлы за пределами своего репозитория с помощью функции загрузки метаданных из магазина приложений, которая устраняет пути, находящиеся под влиянием злоумышленника, без надлежащего ограничения их репозиторием. Это неполное исправление для CVE-2026-34242, исходное исправление которого не смогло полностью предотвратить обход пути, позволяя сохранить произвольный прочитанный файл.
Таким образом, пользователь с правами администратора проекта может раскрывать содержимое файлов на хосте Weblate, находящихся за пределами репозитория проекта. Эта проблема исправлена в версии 2026.7.
Показать оригинальное описание (EN)
Weblate is a web-based continuous localization platform used to manage software translations. In versions prior to 2026.7, a project administrator can read files outside their repository through the App store metadata download feature, which resolves attacker-influenced paths without adequately confining them to the repository. This is an incomplete fix for CVE-2026-34242, whose original patch failed to fully prevent the path traversal, allowing the arbitrary file read to persist. A user with project-administrator privileges can therefore disclose the contents of files on the Weblate host that lie outside the project's repository. This issue is fixed in version 2026.7.
Характеристики атаки
Последствия
Строка CVSS v3.1