Weblate: Escalada de privilégios no endpoint da API do usuário

A principal consequência da vulnerabilidade CVE-2026-34393 é a possibilidade de um atacante obter privilégios elevados dentro do sistema Weblate. Isso pode permitir a modificação não autorizada de traduções, configurações e outros dados críticos. Um atacante com acesso à API de correção, mesmo sem permissões administrativas, pode explorar essa falha para comprometer a integridade dos dados e potencialmente assumir o controle de partes do sistema. A ausência de validação adequada do escopo das edições abre uma brecha significativa para a manipulação de informações.

Organizations utilizing Weblate for localization, particularly those with publicly accessible instances or those lacking robust access control configurations, are at risk. Shared hosting environments where multiple Weblate instances share resources are also particularly vulnerable.

• python / server:

# Check Weblate version
python3 -c 'import weblate; print(weblate.__version__)'

• generic web:

# Check for exposed patching API endpoint
curl -I https://your-weblate-instance/api/patches/

1. 2026-04-15Disclosure

   disclosure

1. Reservado2026-03-27
2. Publicada2026-04-15
3. EPSS atualizado2026-04-23

A mitigação primária para a vulnerabilidade CVE-2026-34393 é a atualização imediata para a versão 5.17.0 do Weblate, que inclui a correção para essa falha. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso à API de correção apenas a usuários autorizados e monitorar de perto as atividades relacionadas à edição de traduções. Não há workarounds conhecidos além da atualização. Após a atualização, confirme a correção verificando os logs do sistema em busca de tentativas de acesso não autorizado à API de correção.