Weblate es vulnerable a RCE a través de la sobreescritura del archivo de configuración de Git

La vulnerabilidad CVE-2025-68398 presenta un riesgo significativo debido a su potencial para la ejecución remota de código. Un atacante podría explotar esta falla para modificar la configuración de Git, lo que podría permitir la inyección de código malicioso en el repositorio. Esto podría llevar a la manipulación de archivos de traducción, la exfiltración de datos sensibles o incluso la toma de control completa del servidor Weblate. La capacidad de modificar la configuración de Git abre la puerta a una amplia gama de ataques, incluyendo la modificación de la cadena de herramientas de compilación o la inserción de puertas traseras en el código fuente. La sobreescritura de la configuración de Git podría permitir a un atacante ejecutar comandos arbitrarios en el servidor subyacente, lo que amplía significativamente el radio de explosión del ataque.

Organizations utilizing Weblate for translation management, particularly those with public-facing instances or those integrating Weblate with sensitive code repositories, are at significant risk. Shared hosting environments where multiple users share a Weblate instance are also particularly vulnerable, as a compromise could affect all users on the shared server.

• python / server:

import os
import subprocess

def check_git_config(config_file):
    try:
        result = subprocess.run(['git', 'config', '--list'], capture_output=True, text=True, check=True)
        return result.stdout
    except subprocess.CalledProcessError as e:
        return f"Error: {e}"

# Example usage:
config_file = '.git/config'  # Adjust path as needed
output = check_git_config(config_file)
print(output)

• generic web: Check Weblate configuration files for unexpected or suspicious entries. Review access logs for unusual activity related to Git configuration changes.

1. 2025-12-18Disclosure

   disclosure

1. Reservado2025-12-16
2. Publicada2025-12-18
3. Modificada2026-02-06
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-68398 es actualizar Weblate a la versión 5.15.1 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible, considere implementar medidas de seguridad adicionales como restringir el acceso a la configuración de Git y monitorear la actividad sospechosa en el repositorio. Si la actualización causa problemas de compatibilidad, explore la posibilidad de realizar una reversión a una versión anterior estable antes de aplicar la actualización. Implemente reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes que intenten manipular la configuración de Git. Después de la actualización, verifique que la configuración de Git no haya sido comprometida revisando los archivos de configuración relevantes.