Weblate: Execução remota de código durante a restauração de backup

A exploração bem-sucedida desta vulnerabilidade permite a um atacante executar código arbitrário no servidor Weblate com as permissões do usuário que executa o backup. Isso pode levar ao comprometimento completo do servidor, permitindo o acesso não autorizado a dados confidenciais, a modificação de configurações do sistema e até mesmo a instalação de malware. O impacto é ampliado se o servidor Weblate for usado para gerenciar traduções de aplicativos críticos ou se contiver informações sensíveis sobre os usuários. A falta de filtragem de arquivos de configuração significa que um atacante pode injetar código malicioso diretamente no processo de backup, tornando a exploração mais fácil e discreta.

Organizations using Weblate for translation management, particularly those with multiple users and permissive project creation policies, are at risk. Shared hosting environments where users have the ability to create projects are also particularly vulnerable, as an attacker could potentially compromise the entire hosting instance.

• python / server:

# Check for suspicious file modifications in the project backup directory
find /path/to/weblate/project_backups -mtime -1 -type f

• generic web:

# Check Weblate logs for errors related to project backups
grep -i 'backup' /var/log/weblate/error.log

1. 2026-04-15Disclosure

   disclosure

1. Reservado2026-03-19
2. Publicada2026-04-15
3. EPSS atualizado2026-04-23

A correção oficial para esta vulnerabilidade é a atualização para a versão 5.17.0 do Weblate. Se a atualização imediata não for possível, uma mitigação temporária é restringir o acesso ao recurso de backup de projetos apenas a usuários com permissões elevadas. Isso limita o escopo potencial da exploração, pois apenas usuários autorizados podem iniciar backups. Além disso, monitore os logs do Weblate em busca de atividades suspeitas relacionadas ao backup de projetos. Após a atualização, confirme a correção verificando se os arquivos de configuração do Git e Mercurial são devidamente filtrados durante o processo de backup.