GHSA-vmfc-9982-2m45 — medium GitHub Advisory (CVE-2026-50127) in pip/weblate

説明

Impact

Weblate's VCS_RESTRICT_PRIVATE did not properly account for some transitional IPv6 ranges, multicast addresses, or some semi-private IPv4 ranges, which allowed some addresses to bypass private range restrictions.

Patches

https://github.com/WeblateOrg/weblate/pull/19768

Resources

The issue was reported by @tonghuaroot via GitHub, and the same user also provided the initial patch.

基本情報

タイプ: reviewed
深刻度: medium
GitHub 上のアドバイザリ: アドバイザリを開く ↗
リポジトリのアドバイザリ: リポジトリのアドバイザリを開く ↗
ソースコード: ソースを見る ↗
公開（アドバイザリ）: 2026-07-07 23:46:33 UTC
更新: 2026-07-07 23:46:35 UTC
GitHub レビュー済み: 2026-07-07 23:46:33 UTC
NVD で公開: 2026-06-10

Score	Percentile
0.29%	20.60%

CVSS Scores

Base score	Version	Severity	Vector
5.9	3.1	—	`CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:H) 到達できても、タイミング・負荷・周辺設定など、揃わないと成功しない局面が多い。必要な権限 (PR:N) 事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。ユーザーの関与 (UI:N) メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:H) 広範な機微データの読み取りや持ち出しが現実的。完全性への影響 (I:N) 改ざん・なりすましによる信頼毀損は軽微か、想定されない。可用性への影響 (A:N) 業務継続に支障が出るレベルの停止や劣化は想定されない。

Identifiers

Type	Value
GHSA	GHSA-vmfc-9982-2m45 ↗
CVE	CVE-2026-50127 ↗

CWEs

CWE id	Name
CWE-918	Server-Side Request Forgery (SSRF)

Credits

tonghuaroot (reporter)
nijel (remediation_developer)

Affected packages (1)

Vulnerable version ranges and first patched releases as published by GitHub.

Ecosystem	Package	Vulnerable range	First patched	Vulnerable functions
pip	weblate	>= 5.15, < 2026.6	2026.6	—

Weblate SSRF: outbound URL guard misses some private ranges

説明