Weblate vulnerable to improper sanitization of project backups

中 5.4CVE-2024-39303 · GHSA-jfgp-674x-6q4p · PYSEC-2026-2041 · 01/07/2024 公開 · 17/06/2026 更新

要点

CVE-2024-39303 は weblate, weblate (weblate) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.32%（全脆弱性の 24.7% より高い）。
対処：5.6.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
weblate PyPI	`≥ 4.14, < 5.6.2`	`5.6.2`
weblate weblate	`≥ 4.14, < 5.6.2`	`5.6.2`

概要

Impact

Weblate didn't correctly validate filenames when restoring project backup. It may be possible to gain unauthorized access to files on the server using a crafted ZIP file.

Patches

This issue has been addressed in Weblate 5.6.2 via https://github.com/WeblateOrg/weblate/commit/b6a7eace155fa0feaf01b4ac36165a9c5e63bfdd.

Workarounds

Do not allow project creation to untrusted users.

References

Thanks to Bryan Cahill for bringing this issue to our attention.

For more information

If you have any questions or comments about this advisory:

Open a topic in discussions
Email us at [email protected]

NVD の説明

Weblate is a web based localization tool. Prior to version 5.6.2, Weblate didn't correctly validate filenames when restoring project backup. It may be possible to gain unauthorized access to files on the server using a crafted ZIP file. This issue has been addressed in Weblate 5.6.2. As a workaround, do not allow untrusted users to create projects.

参考情報

WeblateOrg/weblate security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2024-39303 · ADVISORY
WeblateOrg/weblate commit b6a7eac · WEB
WeblateOrg/weblate · PACKAGE
pypi.org/project/weblate · PACKAGE
GitHub Advisory GHSA-jfgp-674x-6q4p · ADVISORY

weblate のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

weblate

PyPI

≥ 4.14, < 5.6.2

5.6.2