Weblate: Lectura arbitraria de archivos a través de Symlink

La vulnerabilidad de Acceso Arbitrario a Archivos en Weblate permite a un atacante, a través de la función de descarga ZIP, seguir enlaces simbólicos (symlinks) fuera del directorio del repositorio. Esto significa que un atacante podría acceder a archivos sensibles ubicados en otras partes del sistema de archivos del servidor, como archivos de configuración, código fuente, o incluso archivos de usuario. El impacto potencial incluye la divulgación de información confidencial, la modificación de archivos críticos, y la posible ejecución de código malicioso si el atacante puede manipular archivos ejecutables. Esta vulnerabilidad es particularmente preocupante en entornos donde Weblate se utiliza para traducir documentos confidenciales o donde el servidor web tiene acceso a otros recursos sensibles.

Organizations using Weblate for translation management, particularly those hosting Weblate instances on shared hosting environments or with inadequate file system permissions, are at increased risk. Legacy Weblate deployments running older, unpatched versions are also particularly vulnerable.

• python / server:

find /opt/weblate/ -name '*.zip' -type f -print0 | xargs -0 grep -i '..\..' # Search for symlink patterns in downloaded ZIP files

• generic web:

curl -I http://your-weblate-instance/download/your_repo.zip | grep 'Location:' # Check for unusual Location headers during download

1. 2026-04-15Disclosure

   disclosure

1. Reservado2026-03-26
2. Publicada2026-04-15
3. EPSS actualizado2026-04-23

La mitigación principal para CVE-2026-34242 es actualizar Weblate a la versión 5.17.0 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad temporales. Estas medidas incluyen restringir los permisos del usuario de Weblate para evitar que pueda seguir enlaces simbólicos, y monitorear los registros del servidor en busca de intentos de acceso no autorizados. Además, se puede considerar la implementación de un firewall de aplicaciones web (WAF) para bloquear solicitudes que intenten explotar esta vulnerabilidad. Después de la actualización, confirme la corrección revisando los registros de Weblate y verificando que la función de descarga ZIP ya no permita el acceso a archivos fuera del repositorio.