🇰🇷 한글 설명
Weblate는 웹 기반 현지화 도구입니다. 2026.8 버전 이전에는 인증된 사용자가 /api/users/{username}/ 경로에 PUT 또는 PATCH 요청을 보내 이메일 주소를 검증 없이 변경할 수 있습니다. 이로 인해 공격자가 의도한 수신자의 메일함 접근 권한 없이도 팀 초대 승인을 가로챌 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 자신의 이메일 주소를 바꿀 때, 실제로 그 이메일을 사용할 수 있는지 확인하지 않는 문제입니다. 이를 통해 다른 사람의 이메일로 초대장을 가로채서 팀에 몰래 합류할 수 있습니다.
🇺🇸 원문 (English)
Weblate is a web based localization tool. Prior to 2026.8, an authenticated user can change the account's primary email through PUT or PATCH requests to /api/users/{username}/ without verifying the new address, allowing a later team invitation for that address to be accepted without access to the intended recipient's mailbox. This issue is fixed in version 2026.8.
📍 영향받는 시스템
Weblate 2026.8 미만 버전
⚔️ 공격 벡터
인증된 사용자가 API(PUT/PATCH)를 통해 이메일 주소를 검증 없이 변경
🛡️ 대응 방법
Weblate를 2026.8 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2026.8보다 낮은지 확인하십시오.
python3 -c 'import weblate; print(weblate.__version__)' 2>/dev/null || echo 'Version check failed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access