CVE-2026-86035
Publiée le 2026-09-29 · Dernière modification le 2026-10-02
Les instances Weblate utilisant le backend Mercurial sont concernées si elles exécutent des versions comprises entre 4.11.1 et 2026.7.1. Un utilisateur authentifié disposant de permissions de modification de composants peut injecter des arguments malveillants dans les noms de fichiers des dépôts pour finalement exécuter des commandes arbitraires sur le serveur avec les privilèges du compte de service Weblate. Cela nécessite un accès réseau ainsi qu'un ensemble spécifique de permissions, bien que la complexité de l'attaque soit considérée comme élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Weblate is a web-based continuous localization platform used to manage software translations. Weblate 4.11.1 through 2026.7.1 contains an argument-injection vulnerability in its Mercurial backend. Repository filenames beginning with - could be interpreted as Mercurial options instead of literal paths. An authenticated user with project-scoped component.edit permission could exploit this through a Mercurial-backed RESX component using the Update RESX files add-on. A later repository update could execute arbitrary commands with the privileges of the Weblate service account. This is a residual incomplete fix for CVE-2022-23915. This issue has been patched in version 2026.8.