PT-2026-22201 · Weblate · Weblate

Lighthousekeeper1212 · Publicado 2026-02-26 · Atualizado 2026-03-09 · CVE-2026-27457

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Weblate anteriores a 5.16.1

Descrição A API REST do Weblate AddonViewSet em weblate/api/views.py (linha 2831) não restringia adequadamente o acesso às informações dos addons com base nas permissões do usuário. Especificamente, a atribuição queryset = Addon.objects.all() dentro do viewset permitia que qualquer usuário autenticado, ou até mesmo usuários anônimos se REQUIRE LOGIN não estivesse ativado, listassem todos os addons em todos os projetos e componentes usando os endpoints da API GET /api/addons/ e GET /api/addons/{id}/. Isso permitiu acesso não autorizado às configurações dos addons.

Recomendações Atualize para a versão 5.16.1 ou posterior do Weblate.

Exploit

Correção

Missing Authorization

Information Disclosure

Enumeração de Fraquezas

CWE-862

CWE-200

Identificadores relacionados

CVE-2026-27457

GHSA-WPPC-7CQ7-CGFV

OPENSUSE-SU-2026:10309-1

Produtos afetados

Weblate

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27457.json · Exploit
• https://github.com/WeblateOrg/weblate · Nota
• https://github.com/WeblateOrg/weblate/commit/7802c9b121eb407c48d4adddd4f2458fb3efef0f · Correção
• https://github.com/WeblateOrg/weblate/commit/3f58f9a4152bc0cbdd6eff5954f9c7bc4d9f0af9 · Correção
• https://github.com/WeblateOrg/weblate/pull/18164 · Correção
• https://github.com/WeblateOrg/weblate/pull/18107 · Correção
• https://github.com/WeblateOrg/weblate/security/advisories/GHSA-wppc-7cq7-cgfv · Aviso do Fabricante
• https://github.com/WeblateOrg/weblate/releases/tag/weblate-5.16.1 · Nota
• https://twitter.com/VulmonFeeds/status/2027239210134929535 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1rfmr6l/resumen_diario_de_vulnerabilidades_26022026 · Publicação no Reddit
• https://twitter.com/_cvereports/status/2027144221623214191 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2027466648010330230 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-27457 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2026:10309-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-27457 · Nota de Segurança