Weblate-CVE-2026-24126

Weblate — SSH 호스트 인자 주입을 통한 임의 파일 읽기 발견자: Alejandro Baño · 2026년 1월 승인: Weblate 5.16 릴리스 노트 개요 Weblate의 SSH 호스트 키 관리 엔드포인트는 인증된 관리자가 제공한 host 매개변수를 검증이나 인자 검사 없이ssh-keyscan에 직접 전달합니다. ssh-keyscan은 호스트 이름을 파일에서 읽어들이는 -f 플래그를 허용하므로, 관리자 자격 증명을 가진 공격자는 해당 플래그를 호스트 값으로 주입하여 서버가 임의의 로컬 파일을 열도록 강제할 수...