Weblate コマンドラインクライアントは SSL 検証スキップの脆弱性を持つ

この脆弱性を悪用されると、攻撃者はSSL検証を回避し、Weblate CLIが不正なサーバーに接続することを許容できます。これにより、機密情報が盗まれたり、悪意のあるコードが実行されたりする可能性があります。特に、Weblate CLIの設定ファイルが外部からアクセス可能な場合、攻撃のリスクが高まります。この脆弱性は、Weblate CLIが信頼できないネットワーク環境で使用されている場合に、より深刻な影響をもたらす可能性があります。

Organizations and individuals using Weblate CLI for automated translation workflows, particularly those relying on external or untrusted URL sources for connection configuration, are at risk. Legacy Weblate CLI installations running versions prior to 1.17.0 are also vulnerable.

• python / cli: Inspect Weblate CLI configuration files for suspicious URLs or connections to untrusted hosts. • python / cli: Monitor Weblate CLI logs for SSL verification errors or unusual connection attempts. • generic web: Check for unusual network traffic patterns originating from Weblate CLI processes.

1. 2026-01-12Disclosure

   disclosure

1. 予約済み2026-01-07
2. 公開日2026-01-12
3. 更新日2026-02-03
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずWeblate CLIをバージョン1.17.0以降にアップデートすることを推奨します。アップデートが困難な場合は、信頼できないWeblate設定の使用を避けることでリスクを軽減できます。SSL検証を厳格に設定し、不正なURLからの接続をブロックするWAFやプロキシサーバーの導入も有効です。Weblate CLIの設定ファイルへのアクセスを制限することも重要です。