JVNDB-2026-015217

Weblateにおける複数の脆弱性

Weblateはウェブベースのローカリゼーションツールです。バージョン5.17.1より前では、project.add権限を持つ認証済みユーザー（ホストされたWeblate SaaSのデフォルト設定および有効な課金/トライアルプランを持つユーザー）が、悪意のあるプロジェクトバックアップZIPのcomponents/name.jsonに攻撃者が選択したリポジトリURL（例：http://127.0.0.1:9999/のようなプライベートアドレスや、file://やgit://のような許可リストにないスキーム）を含めてインポートできました。WeblateはComponent.objects.bulk_create([component])[0]によってコンポーネントを永続化し、これによりDjangoのfull_clean()を回避し、validate_repo_urlバリデーターが実行されませんでした。そのURLはその後、configure_repo(pull=False)によって.git/configにそのまま書き込まれました。この問題はバージョン5.17.1で修正されています。

Weblate

• Weblate 5.17.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authenticated SSRF via Project Backup Import bypassing validate_repo_url  Advisory  WeblateOrg/weblate  GitHub

1. 不適切な入力確認(CWE-20) [その他]
2. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-41654

1. National Vulnerability Database (NVD) : CVE-2026-41654
2. 関連文書 : fix(project-backup): validate repository before restore  WeblateOrg/weblate@e4b67a7  GitHub
3. 関連文書 : Release Weblate 5.17.1  WeblateOrg/weblate  GitHub
4. 関連文書 : fix(project-backup): validate repository before restore by nijel  Pull Request #19061  WeblateOrg/weblate  GitHub
5. 関連文書 : fix(vcs): annotate remote operation for validation by nijel  Pull Request #19062  WeblateOrg/weblate  GitHub
6. 関連文書 : fix(vcs): annotate remote operation for validation  WeblateOrg/weblate@e1eff1f  GitHub

• [2026年05月13日]
    掲載