🇰🇷 한글 설명
Weblate 5.11 미만 버전에서 기존 컴포넌트를 기반으로 새 컴포넌트를 생성할 때, 설정된 소스 코드 저장소 URL이 클라이언트 URL 파라미터에 포함되는 취약점이 있습니다. 이 과정에서 GitHub PAT와 같은 인증 정보가 평문으로 노출되어 브라우저 기록이나 Nginx 로그에 기록될 수 있습니다.
💡 쉬운 설명
웹 도구에서 새로운 항목을 만들 때 비밀번호와 같은 중요한 정보가 주소창에 그대로 노출되는 문제입니다. 이 정보는 컴퓨터 기록이나 서버 로그에 남아서 다른 사람이 볼 위험이 있습니다.
🇺🇸 원문 (English)
Weblate is a web based localization tool. Prior to version 5.11, when creating a new component from an existing component that has a source code repository URL specified in settings, this URL is included in the client's URL parameters during the creation process. If, for example, the source code repository URL contains GitHub credentials, the confidential PAT and username are shown in plaintext and get saved into browser history. Moreover, if the request URL is logged, the credentials are written to logs in plaintext. If using Weblate official Docker image, nginx logs the URL and the token in plaintext. This issue is patched in version 5.11.
📍 영향받는 시스템
Weblate versions prior to 5.11
⚔️ 공격 벡터
사용자가 컴포넌트 생성 시 URL 파라미터에 포함된 인증 정보를 탈취하거나 로그를 확인하는 방식
🛡️ 대응 방법
Weblate를 5.11 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 5.11 미만이면 취약한 상태이며, 5.11 이상이면 안전합니다.
python3 -c 'import weblate; print(weblate.__version__)' 2>/dev/null || echo 'Check installed version via package manager or docker image tag'