🇰🇷 한글 설명
Weblate 2026.8 미만 버전에서 구성 요소 저장소 URL을 관리할 수 있는 사용자가 DNS Rebinding을 통해 내부 서비스에 대한 서버 측 요청 위조(SSRF)를 수행할 수 있습니다. 공격자는 DNS 응답을 조작하여 초기 검증을 통과한 후 실제 연결 시점에 내부 또는 개인 주소로 리다이렉트시켜 내부 VCS 서비스에 접근할 수 있습니다. 이 취약점은 VCS_RESTRICT_PRIVATE=True 설정이 되어 있는 환경에서 영향을 받습니다.
💡 쉬운 설명
공격자가 웹사이트의 주소를 속여서, 웹사이트가 원래 접속하면 안 되는 회사 내부의 비밀 서버에 대신 접속하게 만드는 기술입니다. 이를 통해 공격자는 내부의 중요한 소스 코드나 정보를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Weblate is a web-based continuous localization platform used to manage software translations. In versions prior to 2026.8, a user permitted to manage component repository URLs can perform server-side request forgery against internal services through DNS rebinding during VCS operations. Weblate validates the hostname's first DNS resolution, but the external VCS clients that later connect perform a separate DNS lookup, so an attacker-controlled hostname that initially resolves to a public address can be re-pointed to an internal or private address before the connection is made. By triggering a clone, fetch, push, or similar remote operation, the attacker can cause Weblate to reach internal VCS-compatible services and potentially expose private repository contents. Installations that permit untrusted repository hostnames while using VCS_RESTRICT_PRIVATE=True are affected. This issue is fixed in version 2026.8.
📍 영향받는 시스템
Weblate versions prior to 2026.8 (with VCS_RESTRICT_PRIVATE=True)
⚔️ 공격 벡터
DNS Rebinding을 이용한 VCS 작업(clone, fetch, push 등) 유도
🛡️ 대응 방법
Weblate를 버전 2026.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.8 미만인지 확인하십시오.
pip show weblate 2>/dev/null | grep Version || weblate --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'