Weblate

Weblate 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 其他弱点26
• 业务逻辑22
• 身份认证19
• 错误配置18
• 信息泄露16
• 跨站请求伪造12
• 跨站脚本8
• 密码学缺陷7
• 拒绝服务6
• 访问控制6
• 代码执行5
• 开放重定向4
• 内存破坏3
• 路径遍历2
• 注入与走私1
• 不安全的直接对象引用1
• 服务端请求伪造1

主要弱点

• Unlabeled26
• 违反安全设计原则（按标题归类）15
• 业务逻辑错误12
• 跨站请求伪造12
• 认证缺陷（通用）8
• 信息泄露8
• 资源消耗失控6
• 访问控制缺陷（通用）5
• Unlabeled5
• 违反安全设计原则（按标题归类）5

常见资产

• · 117
• hosted.weblate.orgURL · 23
• https://github.com/WeblateOrg/weblateSOURCE_CODE · 6
• https://github.com/WeblateOrg/translation-finderSOURCE_CODE · 4
• https://github.com/WeblateOrg/wlcSOURCE_CODE · 4
• https://github.com/WeblateOrg/dockerSOURCE_CODE · 2
• https://github.com/WeblateOrg/websiteSOURCE_CODE · 1

高票报告

当前状态 157 份 · 全部 157

1. 72
   **Unauthenticated IDOR allows modification of payment customer billing information**不安全的直接对象引用 · 2026-08-30 · 高危
   $0IDOR
2. 61
   exposure of personal IP address via email.信息泄露 · 2025-07-16 · 未评级
   $0隐私侵犯
3. 43
   SSRF via URL Parser Differential in `normalize_request_url` (wlc)服务端请求伪造 · 2026-09-02 · 高危
   $0SSRF
4. 41
   Reset password cookie leads to account takeover访问控制 · 2020-10-12 · 中危
   $0Reliance on Cookies without Validation and Integrity Checking in a Security Decision
5. 34
   Incomplete fix for CVE-2022-23915: Mercurial argument injection in HgRepository.get_file() leads to command execution代码执行 · 2026-09-15 · 高危
   $0操作系统命令注入
6. 34
   Argument Injection in /manage/ssh/ via host parameter leads to sensitive file disclosure on Weblate信息泄露 · 2026-04-26 · 未评级
   $0Unlabeled
7. 33
   Unauthenticated ?q= search query causes exponential pyparsing backtracking under a process-global lock in Weblate拒绝服务 · 2026-09-04 · 高危
   $0资源消耗失控
8. 29
   CSRF with logout action跨站请求伪造 · 2023-06-16 · 未评级
   $0跨站请求伪造
9. 29
   no captcha for register user and weak question attacker can spam email错误配置 · 2019-10-26 · 未评级
   $0违反安全设计原则（按标题归类）
10. 27
    API token sent to URL dictated by an untrusted project .weblate file信息泄露 · 2026-09-04 · 中危
    $0信息泄露
11. 24
    Memory exhaustion (DoS) via unbounded file read in `EncodingDiscovery.detect_encoding()`拒绝服务 · 2026-10-16 · 中危
    $0资源消耗失控
12. 22
    Open Github Repo Leaking WEBLATE SECRET KEY信息泄露 · 2020-07-26 · 低危
    $0敏感信息明文存储
13. 21
    Incomplete VCS metadata exclusion: `.svn` / `.bzr` bypass CVE-2026-61792 due to missing `VCS_METADATA_DIRS` entries.路径遍历 · 2026-10-30 · 中危
    $0路径遍历
14. 20
    Race Condition allows to get more free trials and get more than 100 languages and strings for free业务逻辑 · 2021-02-26 · 低危
    $0业务逻辑错误
15. 20
    HTML injection and information disclosure in support panel信息泄露 · 2019-07-09 · 中危
    $0信息泄露
16. 19
    Broken Authentication – Session Token bug身份认证 · 2018-09-26 · 低危
    $0Unlabeled
17. 18
    Uploaded XLF files result in External Entity Execution注入与走私 · 2017-06-02 · 高危
    $0XXE
18. 18
    Rate Limit Bypass on login Page身份认证 · 2017-05-17 · 中危
    $0认证缺陷（通用）
19. 16
    Uncaught RecursionError crash in translation-finder (deep directory tree DoS)拒绝服务 · 2026-10-14 · 低危
    $0资源消耗失控
20. 16
    Insecure Account Removal #2错误配置 · 2018-08-28 · 低危
    $0违反安全设计原则（按标题归类）
21. 14
    wlc: Project-wide download fails part-way and leaves stale archives on disk; filesystem errors surface as raw Python tracebacks.信息泄露 · 2026-10-30 · 低危
    $0错误信息泄露
22. 13
    CPU-based Denial of Service in translation-finder via O(N²) per-result wildcard mask matching拒绝服务 · 2026-11-05 · 中危
    $0资源消耗失控
23. 13
    No rate limiting for Remove Account lead to huge Mass mailings业务逻辑 · 2022-11-20 · 低危
    $0业务逻辑错误
24. 12
    DKIM records not present, Email Hijacking is possible.....身份认证 · 2017-09-16 · 低危
    $0认证缺陷（通用）
25. 12
    Password Restriction错误配置 · 2017-08-19 · 低危
    $0违反安全设计原则（按标题归类）