Private Weblate projects vulnerable to observable object existence disclosure via globally scoped object lookups — GHSA-2P9G-X3CV-5HH4

GitHub · GitHub · GHSA-2P9G-X3CV-5HH4

ID
GHSA-2P9G-X3CV-5HH4

Datum
2026-08-28

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
4.3

EPSS
0.00183

Zusammenfassung

### Impact The several endpoints could leak object existence information to users who had no access to it by HTTP status code 403 instead of 404. ### Patches * https://github.com/WeblateOrg/weblate/pull/19971 ### References Thanks to Yaohui Wang for reporting this via GitHub.

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-08-28

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 4.3 von 10.
Gemeldeter EPSS-Wert: 0.00183.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: pip: weblate.

Produkt

pip: weblate

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-2P9G-X3CV-5HH4
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-08-28
Letzte Quellenaktivität: 2026-08-28
Weitere Kennungen: CVE-2026-55227
Kuratiert von: hlukh.ch