Weblate

Weblate 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 其他弱点26
• 业务逻辑22
• 身份认证19
• 错误配置18
• 信息泄露16
• 跨站请求伪造12
• 跨站脚本8
• 密码学缺陷7
• 拒绝服务6
• 访问控制6
• 代码执行5
• 开放重定向4
• 内存破坏3
• 路径遍历2
• 注入与走私1
• 不安全的直接对象引用1
• 服务端请求伪造1

主要弱点

• Unlabeled26
• 违反安全设计原则（按标题归类）15
• 业务逻辑错误12
• 跨站请求伪造12
• 认证缺陷（通用）8
• 信息泄露8
• 资源消耗失控6
• 访问控制缺陷（通用）5
• Unlabeled5
• 违反安全设计原则（按标题归类）5

常见资产

• · 117
• hosted.weblate.orgURL · 23
• https://github.com/WeblateOrg/weblateSOURCE_CODE · 6
• https://github.com/WeblateOrg/translation-finderSOURCE_CODE · 4
• https://github.com/WeblateOrg/wlcSOURCE_CODE · 4
• https://github.com/WeblateOrg/dockerSOURCE_CODE · 2
• https://github.com/WeblateOrg/websiteSOURCE_CODE · 1

高票报告

当前状态 157 份 · 全部 157

1. 11
   Translation discovery crashes on crafted filenames (regex substitution injection)代码执行 · 2026-10-30 · 低危
   $0Use of Externally-Controlled Format String
2. 11
   Stored XSS via Create Project (Add new translation project)跨站脚本 · 2019-07-09 · 中危
   $0存储型 XSS
3. 11
   No Rate On Add Suggest业务逻辑 · 2019-01-22 · 低危
   $0Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')
4. 11
   flood of comment no rate limit on commnets >> by using different user agent业务逻辑 · 2018-09-28 · 低危
   $0违反安全设计原则（按标题归类）
5. 11
   no notification send to victim if attacker hacks/accesses his victims WebLate account.业务逻辑 · 2018-09-26 · 低危
   $0业务逻辑错误
6. 11
   Login CSRF : Login Authentication Flaw跨站请求伪造 · 2017-06-02 · 中危
   $0跨站请求伪造
7. 11
   Account Takeover using Third party Auth CSRF跨站请求伪造 · 2017-05-17 · 高危
   $0跨站请求伪造
8. 10
   Logging in without knowing credentials after logged out action其他弱点 · 2023-06-16 · 未评级
   $0Unlabeled
9. 10
   Rate Limit Issue on hosted.weblate.org身份认证 · 2017-07-02 · 低危
   $0认证尝试次数未限制
10. 10
    Weak password policy其他弱点 · 2017-08-18 · 低危
    $0Unlabeled
11. 10
    Weak e-mail change functionality could lead to account takeover身份认证 · 2017-05-18 · 低危
    $0违反安全设计原则（按标题归类）
12. 9
    No rate Limit on Add new Translation Project身份认证 · 2021-06-21 · 未评级
    $0认证尝试次数未限制
13. 9
    Missing filteration of meta characters in full name field on registration page https://demo.weblate.org/accounts/register错误配置 · 2017-05-22 · 低危
    $0违反安全设计原则（按标题归类）
14. 9
    Insecure Account Removal错误配置 · 2017-05-17 · 低危
    $0违反安全设计原则（按标题归类）
15. 9
    Activation tokens are not expiring跨站请求伪造 · 2017-05-17 · 中危
    $0跨站请求伪造
16. 8
    Testing flow includes a DeepSource secret信息泄露 · 2023-04-11 · 低危
    $0硬编码凭据
17. 8
    Missing Restriction On String Size内存破坏 · 2017-09-16 · 低危
    $0内存破坏（通用）
18. 8
    Reset password more than once with a reset link #2业务逻辑 · 2017-10-07 · 未评级
    $0业务逻辑错误
19. 8
    Running 2 accounts with a single email #3业务逻辑 · 2018-08-28 · 未评级
    $0业务逻辑错误
20. 8
    Reset password more than once with a reset link业务逻辑 · 2017-08-22 · 未评级
    $0业务逻辑错误
21. 8
    No Rate Limiting at /contact内存破坏 · 2017-06-02 · 低危
    $0内存破坏（通用）
22. 8
    Invalidate session after password reset - hosted website身份认证 · 2017-07-04 · 低危
    $0Unlabeled
23. 8
    No Password Length Restriction leads to Denial of Service拒绝服务 · 2017-05-17 · 低危
    $0资源消耗失控
24. 8
    Improper access control when an added email address is deleted from authentication访问控制 · 2017-05-17 · 高危
    $0访问控制缺陷（通用）
25. 8
    No BruteForce Protection身份认证 · 2017-05-18 · 中危
    $0认证尝试次数未限制