🇰🇷 한글 설명
Weblate의 2026.7 미만 버전에서 프로젝트 접근 권한이 있는 인증된 사용자가 중첩된 API 엔드포인트를 통해 제한된 컴포넌트의 변경 이력을 조회할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 사용자는 직접 볼 권한이 없는 컴포넌트의 ID, 번역 내용, 소스 문자열 등의 민감한 정보를 열람할 수 있습니다.
💡 쉬운 설명
프로젝트에 참여 중인 사용자가 원래는 볼 수 없도록 설정된 특정 번역 데이터나 변경 기록을 API를 통해 몰래 훔쳐볼 수 있는 문제입니다. 권한 설정이 제대로 적용되지 않은 통로를 이용해 숨겨진 정보를 찾아내는 방식입니다.
🇺🇸 원문 (English)
Weblate is a web-based continuous localization platform used to manage software translations. In versions prior to 2026.7, an authenticated user with access to a project can retrieve the change history of restricted components in that project through nested API change endpoints, even without permission to view those components directly. The nested endpoints do not apply the component-level access checks enforced on the direct component views, so the requester can enumerate changes for components that should be hidden from them. The exposed data can include the restricted component's identity, translation and unit links, and change payload fields such as source or translated string content in the target, old, and details values. This issue is fixed in version 2026.7.
📍 영향받는 시스템
Weblate versions prior to 2026.7
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 누락된 중첩 API 엔드포인트를 호출하여 제한된 컴포넌트 데이터 탈취
🛡️ 대응 방법
Weblate를 최신 보안 패치가 적용된 버전인 2026.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.7 미만인지 확인하여 취약 여부를 판단합니다.
pip show weblate 2>/dev/null | grep Version || echo 'Weblate not installed via pip'