Weblate: बैकअप पुनर्स्थापना के दौरान रिमोट कोड निष्पादन

CVE-2026-33435 का शोषण करने वाला एक हमलावर प्रोजेक्ट बैकअप प्रक्रिया का उपयोग करके Weblate सर्वर पर मनमाना कोड निष्पादित कर सकता है। यह हमलावर को सिस्टम पर पूर्ण नियंत्रण प्राप्त करने, संवेदनशील डेटा तक पहुंचने या अन्य दुर्भावनापूर्ण गतिविधियां करने की अनुमति दे सकता है। चूंकि प्रोजेक्ट बैकअप में Git और Mercurial कॉन्फ़िगरेशन फ़ाइलों को फ़िल्टर नहीं किया जाता है, इसलिए हमलावर दुर्भावनापूर्ण कोड को इन फ़ाइलों में इंजेक्ट कर सकता है और फिर बैकअप प्रक्रिया के माध्यम से इसे निष्पादित कर सकता है। इस भेद्यता का संभावित प्रभाव बहुत अधिक है, क्योंकि यह हमलावर को Weblate सर्वर और उससे जुड़े डेटा पर पूर्ण नियंत्रण प्राप्त करने की अनुमति दे सकता है।

Organizations using Weblate for translation management, particularly those with multiple users and permissive project creation policies, are at risk. Shared hosting environments where users have the ability to create projects are also particularly vulnerable, as an attacker could potentially compromise the entire hosting instance.

• python / server:

# Check for suspicious file modifications in the project backup directory
find /path/to/weblate/project_backups -mtime -1 -type f

• generic web:

# Check Weblate logs for errors related to project backups
grep -i 'backup' /var/log/weblate/error.log

1. 2026-04-15Disclosure

   disclosure

1. आरक्षित2026-03-19
2. प्रकाशित2026-04-15
3. EPSS अद्यतन2026-04-23

CVE-2026-33435 को कम करने के लिए, Weblate को तुरंत संस्करण 5.17.0 में अपडेट करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, प्रोजेक्ट बैकअप को केवल उन उपयोगकर्ताओं तक सीमित किया जा सकता है जिनके पास प्रोजेक्ट बनाने की अनुमति है। यह भेद्यता के दायरे को कम करने में मदद करेगा। इसके अतिरिक्त, वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग दुर्भावनापूर्ण अनुरोधों को ब्लॉक करने के लिए किया जा सकता है। Weblate के नवीनतम सुरक्षा अपडेट के लिए Weblate के आधिकारिक GitHub रिपॉजिटरी की निगरानी करना भी महत्वपूर्ण है। अपग्रेड के बाद, यह सत्यापित करें कि बैकअप प्रक्रिया ठीक से काम कर रही है और कोई त्रुटि नहीं है।