Media

Weblate: Prefix-Based Repository Boundary Check Bypass via Symlink/Junction Path Prefix Collision

Publicada: 15.04.2026
Actualizado: 11.10.2026 14:17

Impact

Weblate repository-boundary validation relies on string prefix checks on resolved absolute paths. In multiple code paths, the check uses startswith against the repository root path. This is not path-segment aware and can be bypassed when the external path shares the same string prefix as the repository path (for example, repo and repo_outside).

Patches

https://github.com/WeblateOrg/weblate/pull/18847

References

Thanks to m9nx4u for reporting this issue via HackerOne.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	weblate	< 5.17	5.17

Referencias

Puntuación CVSS 5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
Debilidad (CWE): CWE-22
Plataforma: Python (PyPI)
Paquete: weblate
Publicada: 15.04.2026
Actualizado: 11.10.2026 14:17

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-2315 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-ffgh-3jrf-8wvh - CC BY 4.0

Historial de vulnerabilidades: weblate

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (36) en el archivo

Entradas en total: 36
Primera → última: 03.2017 08.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 6
Media 22
Baja 7

Divulgaciones por año

2017: 1
2018: 0
2019: 0
2020: 0
2021: 0
2022: 1
2023: 0
2024: 1
2025: 12
2026: 21

28.08.2026

Weblate has IDOR in GroupViewSet that allows authenticated project manager to gain unauthorized read access to any private project

Alta · 8.1 CVE-2026-55228 < 2026.7 2026.7
15.04.2026

Weblate: Prefix-Based Repository Boundary Check Bypass via Symlink/Junction Path Prefix Collision esta entrada

Media · 5.0 CVE-2026-40256 < 5.17 5.17
15.04.2026

Weblate: Privilege escalation in the user API endpoint

Alta · 8.8 CVE-2026-34393 < 5.17 5.17
15.04.2026

Weblate: Arbitrary File Read via Symlink

Alta · 7.7 CVE-2026-34242 < 5.17 5.17
15.04.2026

Weblate: Remote code execution during backup restoration

Alta · 8.0 CVE-2026-33435 < 5.17 5.17
18.12.2025

Weblate is vulnerable to RCE through Git config file overwrite

Crítica · 9.1 CVE-2025-68398 < 5.15.1 5.15.1
18.12.2025

Weblate has an arbitrary file read via symbolic links

Alta · 7.7 CVE-2025-68279 < 5.15.1 5.15.1
15.04.2025

Weblate is a web based localization tool. Prior to version 5.11, when creating a new component from an existing component that has a source code repository URL specified in settings, this URL is inclu

Alta · 7.5 CVE-2025-32021 < 5.11 5.11

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación