CVE-2026-41654
¿Qué es CVE-2026-41654?
Weblate es una herramienta de localización basada en web. Antes de la versión 5.17.1, un usuario autenticado con permiso project.add (predeterminado en Weblate SaaS alojado y para cualquier usuario que tenga un plan de facturación/prueba activo) puede importar un archivo ZIP de copia de seguridad del proyecto diseñado cuyos componentes/<nombre>.json contenga una URL de repositorio elegida por el atacante que apunte a una dirección privada (p. ej., http://127.0.0.1:9999/) o utilice un esquema no permitido (p. ej. archivo://, git://). Weblate conserva el componente a través de Component.objects.bulk_create([component])[0], lo que omite full_clean() de Django y, por lo tanto, nunca ejecuta validar_repo_url válido
Preguntas frecuentes
CVE-2026-41654 tiene una puntuación CVSS de N/D/10, clasificada como Desconocido. Revise la lista de productos afectados y aplique los parches del fabricante.
El CVSS (Common Vulnerability Scoring System) califica la gravedad de las vulnerabilidades de 0,0 a 10,0. CVE-2026-41654 obtiene N/D/10 (Desconocido). Las puntuaciones de 9,0–10,0 son Críticas, 7,0–8,9 Altas, 4,0–6,9 Medias y por debajo de 4,0 Bajas.
La lista de dispositivos confirmados como afectados por CVE-2026-41654 se muestra en la sección "Dispositivos afectados" arriba. Compare su versión de firmware con el aviso de seguridad del proveedor y aplique el último parche.
Aplique la última actualización de firmware o software del proveedor. Consulte la sección de Referencias arriba para ver avisos oficiales y notas de parches. Si no hay parche disponible, considere deshabilitar la función afectada o aislar el dispositivo de redes no confiables.