CVE-2026-77508
Publiée le 2026-08-26 · Dernière modification le 2026-08-27
Les installations de Weblate antérieures à la version 2026.8 permettent aux utilisateurs connectés de modifier leur adresse e-mail principale sans vérifier la nouvelle adresse. Un attaquant peut utiliser cette faille pour définir son e-mail sur celui d'une cible, puis accepter des invitations d'équipe destinées à cette personne, obtenant ainsi un accès non autorisé à l'équipe. Cela nécessite la possession d'un compte utilisateur valide et l'envoi d'une invitation distincte à l'adresse usurpée, ce qui en fait un problème à faible risque et difficile à exécuter sans conditions préalables spécifiques.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Weblate is a web based localization tool. Prior to 2026.8, an authenticated user can change the account's primary email through PUT or PATCH requests to /api/users/{username}/ without verifying the new address, allowing a later team invitation for that address to be accepted without access to the intended recipient's mailbox. This issue is fixed in version 2026.8.