CVE-2026-62249— Weblate 非成员用户可访问项目变更历史漏洞
一分钟漏洞结论
影响对象
WeblateOrg weblate
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Weblate 是一个基于 Web 的持续本地化平台，用于管理软件翻译。在 2026.7 之前的版本中，拥有项目访问权限的已认证用户可以通过嵌套的 API 变更端点，获取该项目中受限制组件的变更历史，即使他们没有被直接授予查看这些组件的权限。由于嵌套端点未应用直接组件视图所执行的组件级访问控制检查，请求者能够枚举本应对他们隐藏的组件的变更。所暴露的数据可能包括：受限制组件的身份信息、翻译和单元链接，以及变更负载字段，例如目标语言中的源字符串或翻译字符串内容、旧值以及详情值。该问题已在 2026.7 版本中修复。
可能的 ATT&CK 技术 1 AI
T1070 · Indicator Removal
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-62249 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Weblate: Restricted-component change history leaked to non-member project users through the nested `GET /api/projects/{slug}/changes/` endpoint
来源: CVE Program / CVE List V5
Vulnerability Description
Weblate is a web-based continuous localization platform used to manage software translations. In versions prior to 2026.7, an authenticated user with access to a project can retrieve the change history of restricted components in that project through nested API change endpoints, even without permission to view those components directly. The nested endpoints do not apply the component-level access checks enforced on the direct component views, so the requester can enumerate changes for components that should be hidden from them. The exposed data can include the restricted component's identity, translation and unit links, and change payload fields such as source or translated string content in the target, old, and details values. This issue is fixed in version 2026.7.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| WeblateOrg | weblate | < 2026.7 | - |
|
二、漏洞 CVE-2026-62249 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-62249 的情报信息
请登录查看更多情报信息。
CVE-2026-62249 补丁与修复 (1)
CVE-2026-62249 厂商安全公告 (1)
同批安全公告 · WeblateOrg · 2026-08-26 · 共 9 条
| CVE-2026-55228 | 8.1 HIGH | Weblate 项目私有访问控制漏洞 |
| CVE-2026-61792 | 7.7 HIGH | Weblate 路径遍历导致项目管理员读取任意文件 |
| CVE-2026-62326 | 6.5 MEDIUM | Weblate 资源消耗失控漏洞 |
| CVE-2026-77507 | 5.3 MEDIUM | Weblate RSS 订阅越权访问漏洞 |
| CVE-2026-61790 | 4.4 MEDIUM | Weblate 团队强制双因素认证被绕过漏洞 |
| CVE-2026-55227 | 4.3 MEDIUM | Weblate 私有项目对象存在性信息泄露漏洞 |
| CVE-2026-77508 | 3.5 LOW | Weblate 未验证 REST API 邮箱变更漏洞 |
| CVE-2026-77573 | 3.5 LOW | Weblate 版本控制系统操作DNS重绑定漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-62249
暂无评论