Weblate: シンボリックリンクによる任意のファイル読み出し

この脆弱性は、攻撃者がWeblateサーバー上の機密ファイル（設定ファイル、ソースコードなど）をダウンロードしたり、改ざんしたりする可能性があります。シンボリックリンクを悪用することで、Weblateリポジトリの境界を越えてファイルシステムにアクセスできるため、攻撃範囲は広がる可能性があります。攻撃者は、Weblateサーバー上で実行されている他のアプリケーションに影響を与える可能性もあります。この脆弱性は、Weblateをホストしているサーバーのセキュリティ全体を脅かす可能性があります。

Organizations using Weblate for translation management, particularly those hosting Weblate instances on shared hosting environments or with inadequate file system permissions, are at increased risk. Legacy Weblate deployments running older, unpatched versions are also particularly vulnerable.

• python / server:

find /opt/weblate/ -name '*.zip' -type f -print0 | xargs -0 grep -i '..\..' # Search for symlink patterns in downloaded ZIP files

• generic web:

curl -I http://your-weblate-instance/download/your_repo.zip | grep 'Location:' # Check for unusual Location headers during download

1. 2026-04-15Disclosure

   disclosure

1. 予約済み2026-03-26
2. 公開日2026-04-15
3. EPSS 更新日2026-04-23

まず、Weblateのバージョンを5.17.0以降にアップグレードすることを強く推奨します。アップグレードがすぐに実行できない場合は、ZIPダウンロード機能の使用を一時的に無効にするか、シンボリックリンクを悪用される可能性のあるディレクトリへのアクセスを制限するWAFルールを実装することを検討してください。Weblateのファイルシステムへのアクセス権を最小限に抑えることも有効です。アップグレード後、Weblateのログを監視し、異常なファイルアクセスがないか確認してください。