Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
Патч
Опубликована

CVE-2026-33435

Weblate: Remote code execution during backup restoration

Публикация: 15.04.2026·Обновлена: 27.10.2026, 01:10·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Weblate is a web based localization tool. In versions prior to 5.17, the project backup didn't filter Git and Mercurial configuration files which could lead to remote code execution under certain circumstances. This issue has been fixed in version 5.17. If developers are unable to update immediately, they can limit the scope of the vulnerability by restricting access to the project backup, as it is only accessible to users who can create projects.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

WeblateOrg / weblate 

{
  "status": "affected",
  "version": "< 5.17"
}

weblate / weblate 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.17"
}
cpe:2.3:a:weblate:weblate:*:*:*:*:*:*:*:*

weblate PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.17"
}

CVSS: оценки и векторы

CVSS 3.1 · cve8.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакивысокая
PR · Привилегиивысокие
UI · Участие пользователяне нужно
S · Область воздействияменяется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое
CVSS 3.1 · security-advisories@github.com8
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакивысокая
PR · Привилегиивысокие
UI · Участие пользователяне нужно
S · Область воздействияменяется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-23 · Обход каталогов через относительный путьCWE-94 · Внедрение исполняемого кодаCWE-434 · Неограниченная загрузка файлов опасного типа

Источники и ссылки

Материал · github.com · cveИсправление · github.com · nvdМатериал · nvd.nist.gov · osvМатериал · github.com · osvМатериал · github.com · osvCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:12:21.354752+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T19:50:33.309350+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T19:50:33.309350+00:00"
  },
  "affected": [
    "cve",
    "nvd",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T19:50:33.309350+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:12:21.354752+00:00"
  },
  "references": [
    "cve",
    "nvd",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T19:50:33.309350+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

  1. Данные обновлены03.11.2026, 00:12
  2. Данные обновлены02.11.2026, 13:39
  3. Данные обновлены02.11.2026, 00:10
  4. Данные обновлены31.10.2026, 11:58
  5. Данные обновлены28.10.2026, 22:50
  6. Данные обновлены28.10.2026, 18:06
  7. Появились сведения об исправлении28.10.2026, 15:11

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-34393
Weblate: Privilege escalation in the user API endpoint
WeblateOrg / weblate · weblate / weblate
Высокий8.8
0,39 %
Патч
15.04.2026
CVE-2026-34244
Weblate: SSRF via Project-Level Machinery Configuration
WeblateOrg / weblate · weblate / weblate
Средний5.0
0,25 %
Патч
15.04.2026
CVE-2026-33212
Weblate: Improper access control for pending tasks in API
WeblateOrg / weblate · weblate / weblate
Низкий3.1
0,22 %
Патч
15.04.2026
CVE-2026-39845
Weblate: SSRF via the webhook add-on using unprotected fetch_url()
WeblateOrg / weblate · weblate / weblate
Средний4.1
0,28 %
Патч
15.04.2026
CVE-2026-40256
Weblate: Prefix-Based Repository Boundary Check Bypass via Symlink/Junction Path Prefix Collision
WeblateOrg / weblate · weblate / weblate
Средний5.0
0,32 %
Патч
15.04.2026