Mittel

Weblate: Prefix-Based Repository Boundary Check Bypass via Symlink/Junction Path Prefix Collision

Veröffentlicht: 15.04.2026
Aktualisiert: 11.10.2026 14:17

Impact

Weblate repository-boundary validation relies on string prefix checks on resolved absolute paths. In multiple code paths, the check uses startswith against the repository root path. This is not path-segment aware and can be bypassed when the external path shares the same string prefix as the repository path (for example, repo and repo_outside).

Patches

https://github.com/WeblateOrg/weblate/pull/18847

References

Thanks to m9nx4u for reporting this issue via HackerOne.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	weblate	< 5.17	5.17

Verweise

CVSS-Wert 5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
Schwäche (CWE): CWE-22
Plattform: Python (PyPI)
Paket: weblate
Veröffentlicht: 15.04.2026
Aktualisiert: 11.10.2026 14:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2315 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-ffgh-3jrf-8wvh - CC BY 4.0

Schwachstellenhistorie: weblate

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (36) im Archiv

Einträge insgesamt: 36
Erste → letzte: 03.2017 08.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 6
Mittel 22
Niedrig 7

Veröffentlichungen pro Jahr

2017: 1
2018: 0
2019: 0
2020: 0
2021: 0
2022: 1
2023: 0
2024: 1
2025: 12
2026: 21

28.08.2026

Weblate has IDOR in GroupViewSet that allows authenticated project manager to gain unauthorized read access to any private project

Hoch · 8.1 CVE-2026-55228 < 2026.7 2026.7
15.04.2026

Weblate: Prefix-Based Repository Boundary Check Bypass via Symlink/Junction Path Prefix Collision dieser Eintrag

Mittel · 5.0 CVE-2026-40256 < 5.17 5.17
15.04.2026

Weblate: Privilege escalation in the user API endpoint

Hoch · 8.8 CVE-2026-34393 < 5.17 5.17
15.04.2026

Weblate: Arbitrary File Read via Symlink

Hoch · 7.7 CVE-2026-34242 < 5.17 5.17
15.04.2026

Weblate: Remote code execution during backup restoration

Hoch · 8.0 CVE-2026-33435 < 5.17 5.17
18.12.2025

Weblate is vulnerable to RCE through Git config file overwrite

Kritisch · 9.1 CVE-2025-68398 < 5.15.1 5.15.1
18.12.2025

Weblate has an arbitrary file read via symbolic links

Hoch · 7.7 CVE-2025-68279 < 5.15.1 5.15.1
15.04.2025

Weblate is a web based localization tool. Prior to version 5.11, when creating a new component from an existing component that has a source code repository URL specified in settings, this URL is inclu

Hoch · 7.5 CVE-2025-32021 < 5.11 5.11

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden