CVE-2025-66407: SSRF en Weblate ≤5.14

Un atacante puede explotar esta vulnerabilidad para realizar solicitudes a recursos internos que normalmente no serían accesibles desde el exterior. Al manipular la URL del repositorio, el atacante puede forzar a Weblate a realizar solicitudes a direcciones localhost, direcciones IP internas o incluso archivos locales en el servidor. Esto podría revelar información confidencial, como archivos de configuración, datos de bases de datos o incluso permitir la ejecución de código en el servidor si se accede a endpoints vulnerables. La exposición de respuestas HTTP completas amplía significativamente el potencial de ataque, permitiendo la recolección de información sensible que podría ser utilizada para ataques posteriores.

Organizations utilizing Weblate for localization workflows, particularly those with internal network resources that are not adequately protected, are at risk. Environments with legacy Weblate installations or those lacking robust input validation practices are especially vulnerable.

• python / server:

# Check Weblate version
python3 -c 'import weblate; print(weblate.__version__)'

• generic web:

curl -I http://your-weblate-instance/create/component | grep -i 'repository-url:'

• generic web:

# Check access logs for requests with suspicious URLs (e.g., file://, internal IPs)
grep -i 'file:\/\/|192\.168\.1\.0\/24' /var/log/nginx/access.log

1. 2025-12-15Disclosure

   disclosure

1. Reservado2025-11-28
2. Publicada2025-12-15
3. Modificada2025-12-16
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-66407 es actualizar Weblate a la versión 5.15 o superior, que incluye la validación y sanitización necesarias para las URLs de los repositorios. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a la funcionalidad de creación de componentes a usuarios de confianza. Implementar reglas en un proxy o WAF (Web Application Firewall) para bloquear solicitudes a URLs sospechosas o internas puede proporcionar una capa adicional de protección. Monitorear los logs de Weblate en busca de patrones de solicitudes inusuales o a recursos internos también puede ayudar a detectar y prevenir ataques.