PT-2026-3302 · Wlc+1 · Wlc+1

Zee99Y · Publicado 2026-01-01 · Atualizado 2026-02-18 · CVE-2026-23535

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Weblate wlc versões anteriores a 1.17.2

Descrição O cliente de linha de comando do Weblate (wlc), que utiliza a REST API do Weblate, é suscetível a um problema de escrita arbitrária de arquivo. Um servidor manipulado pode instruir a funcionalidade de download de múltiplas traduções a gravar arquivos em um local não pretendido. Isso ocorre devido a slugs da API não sanitizados. A vulnerabilidade permite que um servidor Weblate malicioso ou comprometido grave arquivos arbitrários no sistema do cliente. A vulnerabilidade está relacionada ao comando wlc download.

Recomendações Versões anteriores a 1.17.2 devem ser atualizadas para a versão 1.17.2. Como alternativa, evite usar o comando wlc download com servidores não confiáveis.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-23535

GHSA-MMWX-79F6-67JG

Produtos afetados

Weblate

Wlc

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23535.json · Exploit
• https://github.com/WeblateOrg/wlc · Nota
• https://github.com/WeblateOrg/wlc/pull/1128 · Correção
• https://github.com/WeblateOrg/wlc/commit/216e691c6e50abae97fe2e4e4f21501bf49a585f · Correção
• https://github.com/WeblateOrg/wlc/security/advisories/GHSA-mmwx-79f6-67jg · Aviso do Fabricante
• https://github.com/WeblateOrg/wlc/releases/tag/1.17.2 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-23535 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-23535 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2012253690514530742 · Publicação no Twitter
• https://twitter.com/pulsepatchio/status/2012892880310882426 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-23535 · Aviso do Fabricante
• https://twitter.com/_cvereports/status/2012209209329295534 · Publicação no Twitter
• https://t.me/cveNotify/152361 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-23535 · Nota de Segurança
• https://twitter.com/pulsepatchio/status/2012893571695759839 · Publicação no Twitter