JVNDB-2025-024589

Weblateにおける複数の脆弱性

Weblateはウェブベースのローカリゼーションツールです。Weblateのコンポーネント作成機能により、認可されたユーザーはバージョン管理システムとソースコードリポジトリのURLを指定して新しい翻訳コンポーネントを追加できます。しかし、バージョン5.15以前では、リポジトリURLフィールドに対する検証やサニタイズが行われておらず、攻撃者は任意のプロトコル、ホスト名、IPアドレス（localhostや内部ネットワークのアドレス、ローカルのファイル名を含む）を指定できます。Mercurialバージョン管理システムが選択された場合、Weblateは指定されたURLに対するサーバー側のHTTPレスポンス全体を曝露します。このことにより、内部サービスを調査してその内容を返すサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が実質的に発生します。内部のHTTPエンドポイントへのアクセスに加えて、この動作はfile://リクエストの試行によるローカルファイルの列挙も可能にします。ファイル内容は必ずしも返されない場合がありますが、アプリケーションのエラーメッセージでファイルの存在有無が明確に区別されているため、サーバーのファイルシステム構成に関する情報が暴露されます。クラウド環境においては、この挙動は特に危険であり、クラウドメタデータサービスなど内部限定のエンドポイントにアクセスできる可能性があり、認証情報の漏洩や環境全体の侵害につながる恐れがあります。この問題はWeblate 5.15のリリースで対処されています。回避策としては、`VCS_BACKENDS`からMercurialを削除することが推奨されます。Gitバックエンドは影響を受けておらず、ファイルプロトコルをブロックし、エラーメッセージでHTTPレスポンス内容を曝露しないように既に設定されています。

Weblate

• Weblate 5.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Server-Side Request Forgery while cloning repository  Advisory  WeblateOrg/weblate  GitHub

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]
2. サーバサイドのリクエストフォージェリ(CWE-918) [NVD評価]

1. CVE-2025-66407

1. National Vulnerability Database (NVD) : CVE-2025-66407
2. 関連文書 : fix(vcs): sanitize mercurial error messages by nijel  Pull Request #17103  WeblateOrg/weblate  GitHub
3. 関連文書 : feat(vcs): extended filtering of allowed VCS URLs by nijel  Pull Request #17102  WeblateOrg/weblate  GitHub

• [2026年01月14日]
    掲載