Weblate wlc パス・トラバーサル脆弱性: ダウンロードコマンドにおける未サニタイズされたAPIスラグ

この脆弱性は、攻撃者がWeblate CLI (wlc)のwlc downloadコマンドを悪用し、悪意のあるサーバーから指示を受け、システム上の任意の場所にファイルを書き込めることを意味します。これにより、機密情報の窃取、システムの改ざん、さらにはリモートコード実行につながる可能性があります。特に、Weblate CLI (wlc)を信頼できないサーバーと連携させている環境では、深刻なリスクとなります。攻撃者は、Weblateの構成ファイルを改ざんしたり、悪意のあるスクリプトをシステムにインストールしたりすることが考えられます。

Organizations and individuals using the Weblate CLI client, particularly those who rely on automated workflows involving file downloads from external or untrusted sources, are at risk. Shared hosting environments where multiple users share the same system and Weblate CLI client installation are also particularly vulnerable.

• python / generic web:

# Check for wlc version
wlc --version

• python / generic web:

# Monitor for unusual file creation patterns in the user's home directory or other writable locations.
find /home/$USER -type f -mmin -60 -print

• python / generic web:

# Inspect network traffic for suspicious file download requests.
# (Requires network monitoring tools like tcpdump or Wireshark)

1. 2026-01-16Disclosure

   disclosure

1. 予約済み2026-01-13
2. 公開日2026-01-16
3. 更新日2026-02-03
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずWeblate CLI (wlc)をバージョン1.17.2以降にアップデートすることを強く推奨します。アップデートが困難な場合は、信頼できないサーバーとのwlc downloadコマンドの使用を避けることでリスクを軽減できます。また、Webサーバーのアクセス制限や、ファイルシステムのパーミッション設定を適切に行うことで、攻撃の影響範囲を限定することが可能です。Weblate CLI (wlc)のログを監視し、異常なファイルアクセスや書き込み操作を検知することも有効です。アップデート後、wlc --versionコマンドを実行し、バージョンが1.17.2以降であることを確認してください。