PT-2025-40305 · Weblate · Weblate

Mbiesiad · Publicado 2025-10-01 · Atualizado 2025-10-08 · CVE-2025-61587

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Weblate 5.13.2 e anteriores

Descrição O Weblate é uma ferramenta de localização baseada na web. Existe um redirecionamento aberto via o parâmetro redir no endpoint '.within.website' quando o Weblate está configurado com Anubis e REDIRECT DOMAINS não está definido. Um atacante pode criar uma URL no domínio legítimo que redireciona uma vítima para um site controlado pelo atacante. Este redirecionamento também pode iniciar downloads drive-by, representando um risco para os usuários finais.

Recomendações Atualize para a versão 5.13.3 ou posterior.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

CWE-1395

Identificadores relacionados

CVE-2025-61587

GHSA-3XHV-R4GX-XW99

OPENSUSE-SU-2025:15615-1

Produtos afetados

Weblate

Referências · 14

• 🔥 https://github.com/WeblateOrg/weblate/security/advisories/GHSA-3xhv-r4gx-xw99 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/61xxx/CVE-2025-61587.json · Exploit
• https://github.com/WeblateOrg/weblate/commit/ec3b900f8a52c5c992d9e7014f09397e159ac381 · Correção
• https://github.com/WeblateOrg/weblate/commit/6b3d73a310279b5630bca8cbd9ea0be28bc67b63 · Correção
• https://github.com/WeblateOrg/docker/commit/76518342f65b8af8c2b7f7c5d37f84813c1253a1 · Correção
• https://suse.com/security/cve/CVE-2025-61587 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-61587 · Nota de Segurança
• https://t.me/cveNotify/137646 · Publicação no Telegram
• https://t.me/CVEtracker/33889 · Publicação no Telegram
• https://osv.dev/vulnerability/openSUSE-SU-2025:15615-1 · Aviso do Fabricante
• https://t.me/cveNotify/137554 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1973516509772181737 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-61587 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1973640009849676027 · Publicação no Twitter