Model hrozieb Weblate

Projekt: Weblate

Naposledy skontrolované pre Weblate 2026.11 pri zápise af7a54c07c.

Dátum: 2026-09-24.

Stav: Prijaté, 2026-09-01.

Väzba na verziu: Tento model je verziovaný spolu s vydaniami Weblate. Hlásenie proti verzii Weblate N sa triedi podľa modelu publikovaného pre verziu N, nie podľa najnovšej vývojovej vetvy. (správca)

Krížový odkaz na hlásenia: Hlásenia, ktoré porušujú vlastnosť, ktorú Weblate deklaruje v Bezpečnostné vlastnosti, ktoré Weblate poskytuje, sa hlásia cez SECURITY.md a Riešenie zraniteľností a incidentov. Hlásenia, ktoré spadajú pod Mimo rozsahu alebo Bezpečnostné vlastnosti, ktoré Weblate neposkytuje, môžu byť uzavreté s odkazom na tento dokument, pokiaľ ich tento model nesmeruje do VALID-HARDENING. (zdokumentované) (zdroj: Riešenie zraniteľností a incidentov)

Legenda pôvodu: *(zdokumentované)* znamená, že tvrdenie je uvedené v dokumentácii Weblate; *(správca)* znamená, že ho uviedol správca počas tohto procesu tvorby modelu hrozieb; *(odvodené)* znamená, že bolo odvodené z aktuálneho stavu projektu a vyžaduje potvrdenie správcu.

Weblate je webová lokalizačná platforma založená na Django. Prijíma prácu od používateľov prehliadača, klientov API, tokenov s rozsahom projektu, webhookov repozitára, repozitárov VCS, záložných archívov, pracovníkov na pozadí a nakonfigurovaných externých služieb, a následne ukladá a synchronizuje prekladové projekty prostredníctvom databázy, úložiska dát, lokálnych repozitárov na súborovom systéme a externých systémov na hosťovanie kódu. (zdokumentované) (zdroj: Dokumentácia Weblate, REST API Weblate, Nepretržitá lokalizácia)

Rozsah a zamýšľané použitie

Tento model opisuje zdieľané hranice dôvery a bezpečnostné vlastnosti. Funkcie v rámci rodiny komponentov nasledujú jej všeobecné usmernenie, pokiaľ neplatí explicitná výnimka; reprezentatívne povrchy nižšie nie sú vyčerpávajúcim inventárom funkcií. (správca)

Rodina komponentov	Reprezentatívny povrch	Efekty mimo procesu	Stav modelu
Webové rozhranie a REST API	Zobrazenia prehliadača, formuláre, koncové body relácií, REST API Weblate	Databáza, úložisko dát, e-mail, logy, nahrané súbory	V rozsahu. (zdokumentované) (zdroj: REST API Weblate, Pokyny na konfiguráciu)
Autentifikácia, relácie a autorizácia	Prihlásenie, 2FA, SSO, tímy, oprávnenia, prístup k projektu, API tokeny	Databáza, poskytovatelia identity, cookies prehliadača	V rozsahu. (zdokumentované) (zdroj: Autentifikácia, Riadenie prístupu)
API tokeny s rozsahom projektu	Tokeny vytvorené v Prístup k API projektu	Rovnaké efekty aplikácie, aké povoľujú oprávnenia tokenu	V rozsahu ako autentifikovaní aktéri s delegovaným rozsahom projektu. (zdokumentované) (zdroj: REST API Weblate, Riadenie prístupu)
Webhooky	Háky notifikácií, projekt Povoliť háky, URL webhooku aplikácie	Plánovanie úloh na pozadí a aktualizácie repozitára VCS	V rozsahu ako verejné rozhranie odolné voči nasadeniu. (zdokumentované) (zdroj: Háky notifikácií, Povoliť háky, URL webhooku aplikácie)
Integrácia VCS	URL repozitárov, vetvy, push, pull, merge requesty, lokálne klony a registrácia, pripojenia, migrácia komponentov a odstránenie aplikácie GitHub	Súborový systém, podpríkazy VCS, sieťové pripojenia SSH/HTTPS a stav repozitára alebo inštalácie poskytovateľa	V rozsahu, keď je dosiahnuteľný cez konfiguráciu Weblate alebo obsah projektu. (zdokumentované) (zdroj: Nepretržitá lokalizácia, Integrácie s platformami na hosťovanie kódu)
Úlohy na pozadí	Fronty Celery pre aktualizácie repozitára, vymazanie projektu, oznámenia, prekladovú pamäť, preklad a zálohy	Databáza, úložisko dát, súborový systém, odchádzajúca sieť	V rozsahu ako Weblate riadené vykonávanie akcií používateľa alebo operátora. (zdokumentované) (zdroj: Pokyny na konfiguráciu, REST API Weblate)
Import/export zálohy projektu	Zálohy na úrovni projektu, koncové body zálohy projektu REST API Weblate, import_projectbackup	Nahrané archívy ZIP, generované záložné archívy, obnova súborového systému, stav repozitára	V rozsahu. (zdokumentované) (zdroj: Zálohovanie a presun Weblate, REST API Weblate, Manažérske príkazy)
Záloha služby	Konfigurácia BorgBackup a backup	Lokálne alebo vzdialené úložisko záloh cez súborový systém alebo SSH	V rozsahu pre spracovanie nakonfigurovaných zálohovacích úloh Weblate; Borg sám o sebe je mimo rozsahu. (zdokumentované) (zdroj: Zálohovanie a presun Weblate, Manažérske príkazy)
Strojový preklad a odchádzajúce integrácie	Strojový preklad, avatary, hlásenie stavu, telemetria, hlásenie chýb, hostitelia VCS, pripojenia aplikácie GitHub, doplnok CDN, doplnok Fedora Messaging, doručovanie e-mailu (SMTP alebo AWS SES)	Odchádzajúce HTTP(S), AMQP(S), API poskytovateľov, logy	V rozsahu pre vynucovanie nakonfigurovaných prístupových a sieťových obmedzení Weblate. Správanie poskytovateľa je mimo rozsahu. (zdokumentované) (zdroj: Konfigurácia, Integrácie s platformami na hosťovanie kódu, Doplnky)
Doplnky	Vstavané doplnky a vykonávanie doplnkov nakonfigurovaných administrátorom	Líši sa podľa doplnku; môže meniť stav projektu alebo repozitára alebo kontaktovať služby	Vstavané doplnky sú v rozsahu, keď sú povolené. Doplnky tretích strán sú mimo rozsahu, s výnimkou brán oprávnení a inštalácie Weblate. (správca)
Manažérske príkazy	Príkazy weblate spustené operátorom	Databáza, súborový systém, VCS, úložisko záloh	V rozsahu pri spracovávaní nedôveryhodných údajov Weblate; lokálny shell operátora je dôveryhodný. (správca)
Testy, generovaná dokumentácia, snímky obrazovky, vývojové dáta	docs/_build/, docs/screenshots/, testy, lokálne dáta	Súbory len pre vývoj a generované artefakty	Mimo rozsahu pre bezpečnostné tvrdenia produktu. (správca)

Vývojové prostredia nie sú podporované produkčné nasadenia a neposkytujú bezpečnostnú izoláciu od škodlivého checkoutu alebo lokálneho používateľa. (správca)

Zamýšľané nasadenie je serverová inštalácia Weblate za webovým serverom alebo reverzným proxy, s aplikačným serverom WSGI alebo ASGI, databázou PostgreSQL, úložiskom dát, pracovníkmi Celery, zapisovateľným dátovým adresárom a voliteľnými integráciami pre odchádzajúce VCS, zálohy, poskytovateľov identity a strojový preklad. (zdokumentované) (zdroj: Pokyny na konfiguráciu)

Relevantní aktéri sú rozdelení podľa úrovne dôvery: neautentifikovaní klienti, autentifikovaní používatelia, recenzenti, projektoví manažéri, administrátori, API tokeny s rozsahom projektu, odosielatelia webhookov, externí poskytovatelia VCS, nakonfigurované externé služby a lokálni operátori. (zdokumentované) (zdroj: Riadenie prístupu, REST API Weblate)

Weblate nie je určený na vloženie ako knižnica zabezpečenia v rámci procesu, na použitie ako sandbox pre nedôveryhodný kód ani na vystavenie bez ovládacích prvkov nasadenia zdokumentovaných pre produkčné použitie. (správca)

Mimo rozsahu

Nasledujúce položky sú explicitnými necieľmi tohto modelu:

• Kompromitovaný účet operačného systému, behové prostredie kontajnera, databázový server, úložisko dát, reverzné proxy alebo shell administrátora. Weblate beží v rámci týchto hraníc a netvrdí, že sa dokáže chrániť pred už skompromitovaným hostiteľom. (správca)

• Škodlivý administrátor stránky Weblate alebo lokálny operátor s neobmedzeným prístupom k serveru. Takýto aktér môže zmeniť nastavenia, poverenia, údaje alebo kód. (správca)

• Zraniteľnosti v závislostiach tretích strán ako nezávislých projektoch. Všeobecné zraniteľnosti Django, Django REST framework, Python Social Auth, BorgBackup, VCS, databázy a poskytovateľov sa hlásia upstream, pokiaľ problém nie je v ich použití Weblate. (zdokumentované) (zdroj: Riešenie zraniteľností a incidentov)

• Hygiena zostavovania a vydávania, vrátane fixovania akcií, podpisovania artefaktov, čerstvosti závislostí a ochrany vetiev repozitára. Tieto ovplyvňujú prevádzku projektu, ale nie sú tvrdeniami modelu hrozieb o správaní Weblate za behu. (správca)

• Všeobecná bezpečnosť externých poskytovateľov VCS, poskytovateľov identity, poštových serverov, služieb strojového prekladu, služieb avatarov, úložiska CDN alebo úložiska záloh. Weblate modeluje iba svoje nakonfigurované interakcie s nimi. (správca)

• Voľby reťazca dodávok prekladov používateľských organizácií mimo Weblate. Riziká externých alebo komunitných prekladateľov sú popísané samostatne v Model hrozieb lokalizácie. (zdokumentované) (zdroj: Model hrozieb lokalizácie)

• Kód doplnkov tretích strán, kód lokálnych úprav, vývojové dáta, výstup generovanej dokumentácie, kód len pre testy a demonštračné alebo vzorové údaje. (správca)

Hranice dôvery a tok dát

Primárnou hranicou dôvery Weblate je sieťovo orientovaný povrch aplikácie: zobrazenia prehliadača, koncové body API, koncové body webhookov a koncové body nahrávania prijímajú údaje od menej dôveryhodných aktérov a prevádzajú ich na riadky databázy, stav lokálneho repozitára, úlohy na pozadí, odchádzajúce požiadavky a vykreslené používateľské rozhranie. (správca)

Hranica	Prechod dôvery
Klientsky prehliadač/klient API do Weblate	Nedôveryhodné alebo autentifikované požiadavky sa stávajú akciami aplikácie kontrolovanými podľa oprávnení. (zdokumentované) (zdroj: REST API Weblate, Riadenie prístupu)
Weblate identity provider to relying applications	Administrators register trusted OIDC clients and callback URLs. Users authenticate through Weblate and share consented identity claims, or administrators explicitly permit a client to skip consent. Newly issued access and refresh token values are hashed by default. Provider tokens remain valid independently of browser sessions and do not grant Weblate REST API access. Relying applications control their own account linking and sessions. (documented) (source: OpenID Connect identity provider)
Weblate k verejnému úložisku CDN a klientom	Povolenie publikovania CDN zámerne presúva vybrané preklady a verejné identifikátory zostavení a mapovania zdrojov mimo kontroly prístupu projektu, vrátane prekladov zo súkromných komponentov. Odstránenie publikovaných originálových súborov nemôže odvolať cachované alebo stiahnuté kópie. Prípravné súbory v súborovom systéme CDN zostávajú neverejné iba keď originál vylučuje rezervovaný stagingový adresár podľa požiadavky CDN pre lokalizáciu. (zdokumentované) (zdroj: Kotlin SDK CDN)
Projects to global shared translation memory	Enabling contribution deliberately publishes source strings, translations, and project and component origin outside project access controls, including for Private and Custom projects. Restricted components do not contribute. Disabling contribution prevents the project’s automatic entries from remaining visible through the shared scope, but cannot revoke copies already observed or downloaded. (documented) (source: Zdieľaná prekladová pamäť, Pamäť)
Proces požiadavky Weblate k pracovníkovi Celery repozitára	Akcie repozitára prehliadača a API kontrolované podľa oprávnení sa stanú prácou vo fronte nesúcou iniciujúceho používateľa a rozsah dotknutého repozitára. Pracovník znovu získava rezerváciu úložiska dát a znovu kontroluje aktuálne VCS oprávnenie používateľa na aktuálnom vlastníkovi repozitára pred mutáciou. Broker, úložisko dát a pracovníci sú dôveryhodné časti tej istej inštancie Weblate. (správca)
Odosielateľ webhooku do Weblate	Verejné oznámenia z foriem môžu naplánovať synchronizáciu repozitára tam, kde sú povolené háky, pričom komponenty sa zhodujú podľa presnej URL repozitára namiesto záložného mechanizmu podľa prípony hostiteľa alebo cesty. Odpovede všeobecných hákov odhaľujú počty zhôd a pre aktualizované komponenty aj slugy projektu/komponentu a URL API, vrátane súkromných projektov a obmedzených komponentov. Komponenty spravované prostredníctvom autentifikovanej integrácie sú vylúčené zo všeobecného priraďovania a diagnostiky; momentálne sa to vzťahuje na backend VCS aplikácie GitHub. Registrované webhooky aplikácie GitHub sa overujú pomocou tokenu URL pre každú aplikáciu a overenia podpisu GitHub. Voliteľné doručenia staršej aplikácie GitHub na všeobecnú URL webhooku GitHub sa overujú samostatne nakonfigurovaným tajomstvom. (zdokumentované) (zdroj: Háky notifikácií, Povoliť háky, Zhodné ciele webhookov, URL webhooku aplikácie, GITHUB_LEGACY_APP_WEBHOOK_SECRET)
eTranslation service to Weblate	A public callback carries text suggestions or failures into a short-lived cache entry. Weblate accepts it only with the unpredictable token issued for a pending request; it cannot edit translation units directly. (documented) (source: eTranslation)
Weblate do databázy/úložiska dát	Stav aplikácie kontrolovaný podľa oprávnení sa stáva trvalými údajmi a úlohami vo fronte. (zdokumentované) (zdroj: Pokyny na konfiguráciu)
Weblate do lokálnych repozitárov VCS	Konfigurácia projektu a obsah repozitára riadia operácie súborového systému a VCS. (zdokumentované) (zdroj: Nepretržitá lokalizácia)
Weblate do externých služieb	Nakonfigurované URL, poverenia a nastavenia poskytovateľa riadia odchádzajúce sieťové pripojenia. (zdokumentované) (zdroj: Integrácie s platformami na hosťovanie kódu, Konfigurácia)
Archívy záloh projektu a súborový systém Weblate	Nahrané členovia ZIP a metadáta sa stávajú obnoveným stavom projektu; generované zálohy projektu sa zapisujú do a čítajú z lokálneho úložiska záloh. (zdokumentované) (zdroj: Zálohovanie a presun Weblate, REST API Weblate, Zálohy na úrovni projektu)

Predpoklady dosiahnuteľnosti:

• Nález webového rozhrania alebo API je v modeli iba vtedy, ak je dosiahnuteľný neautentifikovaným klientom, autentifikovaným používateľom alebo tokenom s rozsahom projektu prostredníctvom zdokumentovaných trás, formulárov alebo koncových bodov API. (správca)

• Nález autorizácie je v modeli iba vtedy, ak prekročí zdokumentovanú hranicu oprávnenia, tímu, projektu, komponentu, jazyka, slovníka, tokenu alebo celej stránky. (zdokumentované) (zdroj: Riadenie prístupu)

• Nález webhooku je v modeli iba vtedy, keď požiadavka môže dosiahnuť povolený koncový bod hooku a ovplyvniť plánovanie aktualizácie repozitára, objem úloh alebo informácie vrátené volajúcemu nad rámec zdokumentovanej diagnostiky zhody. (zdokumentované) (zdroj: Háky notifikácií, Povoliť háky, Zhodné ciele webhookov)

• Nález VCS je v modeli iba vtedy, ak údaje repozitára, názvy vetiev, URL, názvy súborov, metadáta commitov alebo konfigurácia projektu kontrolované útočníkom alebo menej dôveryhodné môžu ovplyvniť operácie VCS Weblate. (správca)

• Nález importu zálohy je v modeli iba vtedy, ak je dosiahnuteľný zo zálohy projektu nahranej cez Weblate alebo dodanej do import_projectbackup. (zdokumentované) (zdroj: Zálohy na úrovni projektu, import_projectbackup)

• Nález exportu zálohy je v modeli iba vtedy, ak je dosiahnuteľný zo zdokumentovaných trás vytvárania alebo sťahovania zálohy projektu, vrátane REST API pre používateľov alebo tokeny s rozsahom projektu s oprávnením na úpravu projektu. (zdokumentované) (zdroj: REST API Weblate, Zálohy na úrovni projektu, Riadenie prístupu)

• Nález úlohy na pozadí je v modeli iba vtedy, ak úlohu možno zaradiť do fronty z povrchu Weblate v rozsahu alebo z plánovanej cesty údržby Weblate. (zdokumentované) (zdroj: Pokyny na konfiguráciu)

• Nález správcovského príkazu je v modeli iba vtedy, ak príkaz spracováva nedôveryhodné údaje Weblate; ľubovoľný prístup k lokálnemu shellu nie je schopnosťou útočníka. (správca)

Predpoklady prostredia

Weblate predpokladá podporované behové prostredie Python a Django, správne nakonfigurovanú databázu, úložisko dát, zapisovateľný dátový adresár a bežiace pracovníky pre funkcie, ktoré vyžadujú spracovanie na pozadí. (zdokumentované) (zdroj: Pokyny na konfiguráciu)

Od produkčných nasadení sa očakáva, že nakonfigurujú externý webový server alebo reverzné proxy konzistentne s nastaveniami HTTPS, hlavičky hostiteľa, veľkosti tela a hlavičky proxy Weblate. (zdokumentované) (zdroj: Pokyny na konfiguráciu, ENABLE_HTTPS, ALLOWED_HOSTS)

Predpokladá sa, že databáza, úložisko dát a porty interných služieb nie sú priamo vystavené nedôveryhodným sieťam. (správca)

Predpokladá sa, že oprávnenia súborového systému zabránia nesúvisiacim lokálnym používateľom v úprave dátového adresára Weblate, konfigurácie, repozitárov VCS, generovaných obalov SSH, záloh a tajného materiálu. (zdokumentované) (zdroj: Zálohovanie a presun Weblate, Pokyny na konfiguráciu)

Pracovníci Celery sú dôveryhodné komponenty tej istej inštancie Weblate. Škodlivý alebo kompromitovaný pracovník je ekvivalentný kompromitovanému procesu aplikácie. (správca)

Oddelenie procesu a fronty pracovníka nevytvára bezpečnostnú izoláciu; pracovníci si zachovávajú rovnakú dôveryhodnú autoritu aplikácie. (správca)

Predpokladá sa, že vykonávanie príkazov VCS, klienti SSH a HTTPS sa vykonávajú ako servisný používateľ Weblate s povereniami nakonfigurovanými pre príslušný projekt alebo integráciu, vrátane poverení GitHub App uložených v databáze, ktoré sa používajú pre inštalačné tokeny a overovanie podpisov webhookov. (zdokumentované) (zdroj: Integrácie s platformami na hosťovanie kódu, SSH_EXTRA_ARGS)

Čo Weblate robí so svojím hostiteľom:

• Otvára odchádzajúce sieťové pripojenia pre nakonfigurované VCS, poskytovateľa identity, avatary, strojový preklad, zálohy, hlásenie stavu, telemetriu, hlásenie chýb a funkcie doplnkov, ako sú odchádzajúce webhooky a doručovanie Fedora Messaging AMQP. (zdokumentované) (zdroj: Konfigurácia, Integrácie s platformami na hosťovanie kódu, Zálohovanie a presun Weblate)

• Spúšťa pomocné príkazy súvisiace s VCS a zálohami ako súčasť pracovných postupov repozitára a zálohovania. (zdokumentované) (zdroj: Nepretržitá lokalizácia, Zálohovanie a presun Weblate)

• Zapisuje do nakonfigurovaného dátového adresára, úložiska repozitára, médií/písiem, výpisov záloh, logov a umiestnení vyrovnávacej pamäte. (zdokumentované) (zdroj: Konfigurácia, Zálohovanie a presun Weblate)

• Odosielá e-maily a notifikácie prostredníctvom nakonfigurovaných poskytovateľov. Koncové body služieb a poverenia riadené operátorom sú dôveryhodná infraštruktúra mimo obmedzení súkromných cieľov konfigurovateľných používateľom. (zdokumentované) (zdroj: Konfigurácia, Inštalácia pomocou Dockeru)

• Netvrdí, že je bez vedľajších účinkov v celom procese, ako je protokolovanie, zápisy do vyrovnávacej pamäte, vykonávanie podprocesov alebo prístup k odchádzajúcej sieti. (správca)

Varianty zostavovania a konfigurácie

Ovládač	Predvolené alebo zdokumentované nastavenie	Vplyv na model	Postoj správcu
ENABLE_HOOKS a Povoliť háky	Anonymné vzdialené hooky sú konfigurovateľné a musia byť povolené aj pre projekt. (zdokumentované)	Vystavuje koncové body webhookov ako verejné rozhranie plánovania. Odolnosť voči zneužitiu závisí od ovládacích prvkov nasadenia. (zdokumentované) (zdroj: Háky notifikácií, Povoliť háky)	Production deployments exposing hooks use capacity monitoring, body-size limits, minimal public exposure, and optional edge controls appropriate for their provider traffic. Rate limiting can be unsuitable when many legitimate projects deliver from shared provider infrastructure. (maintainer)
ENABLE_HTTPS, hlavičky SSL proxy a nastavenia HSTS	HTTPS ovplyvňuje zabezpečené cookies, presmerovania, HSTS, WebAuthn a generované URL. (zdokumentované) (zdroj: ENABLE_HTTPS)	Zakázanie alebo nesprávna konfigurácia HTTPS odstráni ochrany prenosu a cookies, na ktoré sa Weblate spolieha pre bezpečnosť prehliadača. (zdokumentované) (zdroj: ENABLE_HTTPS)	Zdokumentované produkčné nastavenie je HTTPS so správnymi hlavičkami proxy. (zdokumentované)
ALLOWED_HOSTS	Konfiguruje akceptované názvy hostiteľov HTTP. (zdokumentované) (zdroj: ALLOWED_HOSTS)	Široká akceptácia hostiteľov môže oslabiť ochrany založené na hlavičke hostiteľa a predpoklady generovania URL. (správca)	Produkčné nasadenia toto obmedzujú na názvy hostiteľov inštancie. (správca)
WEBLATE_API_RATELIMIT_ANON, WEBLATE_API_RATELIMIT_USER, API_RATELIMIT_USER_OVERRIDES, API_RATELIMIT_IP_OVERRIDES, RATELIMIT_ATTEMPTS, a RATELIMIT_GITHUB_SETUP_ATTEMPTS	Limity rýchlosti sú konfigurovateľné. (zdokumentované) (zdroj: REST API Weblate, Konfigurácia)	Tvrdenia o dostupnosti predpokladajú limity rýchlosti primerané veľkosti a expozícii nasadenia. (správca)	Operátori môžu prepísať alebo oslobodiť používateľov a siete IP vrátane anonymných klientov. Oslobodenia IP sa spoliehajú na dôveryhodnú konfiguráciu proxy; neudelujú autentifikáciu ani oprávnenia. (zdokumentované) (zdroj: Obmedzovanie rýchlosti API, IP_BEHIND_REVERSE_PROXY). Zakázanie limitov rýchlosti mení triedenie DoS z chyby Weblate na postoj nasadenia, pokiaľ jediná požiadavka neporušuje deklarovanú vlastnosť. (správca)
CSP_SCRIPT_SRC, CSP_IMG_SRC, CSP_CONNECT_SRC, CSP_STYLE_SRC, CSP_FONT_SRC, CSP_FORM_SRC	Zdroje Content Security Policy sú konfigurovateľné. (zdokumentované) (zdroj: Konfigurácia) Predvolená politika skriptov povoľuje inline vykonávanie iba na explicitne vymedzených cestách kompatibility. (správca)	Rozšírenie zdrojov môže znížiť izoláciu na strane prehliadača pre XSS alebo obsah tretích strán. (správca)	Nasadenia pridávajúce zdroje tretích strán akceptujú túto rozšírenú dôveru prehliadača. (správca)
PROJECT_BACKUP_UPLOAD_MAX_SIZE, PROJECT_BACKUP_IMPORT_MAX_MEMBERS, PROJECT_BACKUP_IMPORT_MAX_TOTAL_UNCOMPRESSED_SIZE, PROJECT_BACKUP_IMPORT_MAX_COMPRESSED_ENTRY_SIZE, PROJECT_BACKUP_IMPORT_MIN_RATIO_SIZE, PROJECT_BACKUP_IMPORT_MAX_COMPRESSED_ENTRY_RATIO	Predvolené hodnoty obmedzujú veľkosť nahrávania a importu zálohy projektu, počet členov a podozrivé pomery kompresie. (zdokumentované) (zdroj: Konfigurácia)	Zvýšenie alebo zakázanie týchto limitov rozširuje expozíciu zdrojov počas obnovy. (zdokumentované) (zdroj: Konfigurácia)	Vyššie zdokumentované predvolené hodnoty sú súčasťou záruk zdrojov importu záloh. (zdokumentované)
Obmedzenia súkromných cieľov a zoznamy povolených pre odchádzajúce URL	Používateľsky konfigurovateľné povrchy odchádzajúcich URL zdokumentované s nastaveniami obmedzenia súkromných cieľov predvolene odmietajú interné alebo neverejné ciele. (zdokumentované) (zdroj: ASSET_RESTRICT_PRIVATE, PROJECT_WEB_RESTRICT_PRIVATE, WEBHOOK_RESTRICT_PRIVATE, VCS_RESTRICT_PRIVATE) Chránené priame HTTP požiadavky sú viazané na adresy schválené validáciou za behu; nakonfigurované HTTP proxy pre jednotlivé protokoly sú dôveryhodná infraštruktúra a riešia svoje cieľové hostitele. Chránené operácie Git HTTPS a SSH sú viazané na adresy schválené validáciou za behu. Chránené operácie SSH overujú efektívne HostName a Port. Dôveryhodná konfigurácia SSH administrátora môže zmeniť smerovanie a SSH_EXTRA_ARGS môže prepísať väzbu pripojenia. Trvalé presmerovania Git HTTP na toho istého hostiteľa sa sondujú bez automatického sledovania presmerovania. Každý priamy cieľ je nezávisle overený a viazaný pred použitím; nakonfigurované HTTP proxy pre jednotlivé protokoly používajú zdieľané dôveryhodné odchádzajúce smerovanie. Prenosy objektov Git LFS sú zakázané a mimo podporovaného povrchu integrácie VCS. Klienti VCS bez väzby pripojenia vyžadujú explicitnú výnimku pre dôveryhodného hostiteľa. (správca)	Nastavenia zoznamu povolených a privilegovaná konfigurácia môžu zámerne rozšíriť dosiahnuteľnosť. Neprázdny VCS_ALLOW_HOSTS tiež obmedzuje všetky nakonfigurované hostiteľov VCS, zatiaľ čo VCS_PRIVATE_ALLOWLIST iba oslobodzuje zodpovedajúcich hostiteľov od kontrol súkromných cieľov a neobchádza tento filter hostiteľov. Broker URL Fedora Messaging sú konfiguráciou administrátora stránky a sú v tomto modeli dôveryhodné. (zdokumentované) (zdroj: ASSET_PRIVATE_ALLOWLIST, PROJECT_WEB_RESTRICT_ALLOWLIST, WEBHOOK_PRIVATE_ALLOWLIST, VCS_ALLOW_HOSTS, VCS_PRIVATE_ALLOWLIST)	Predvolené odmietanie súkromných cieľov je bezpečnostná vlastnosť na úrovni aplikácie pre zdokumentované používateľsky konfigurovateľné povrchy URL. (správca)
SSH_EXTRA_ARGS	Povoľuje vlastné možnosti SSH. (zdokumentované) (zdroj: SSH_EXTRA_ARGS)	Oslabenie algoritmov SSH alebo overovania hostiteľa mení predpoklady prenosu VCS. Možnosti smerovania môžu prepísať chránené fixovanie adresy repozitára. (správca)	Operátori nesú zodpovednosť za bezpečnostný dopad vlastných možností SSH. (správca)
Doplnky tretích strán a lokálne úpravy	Administrátori môžu rozšíriť správanie. (zdokumentované) (zdroj: Doplnky)	Vlastný kód môže pridať nové hranice dôvery a bezpečnostné vlastnosti mimo tohto modelu. (správca)	Kód tretích strán je modelovaný samostatne. (správca)
Deklaratívne výrazy automatizácie	Správcovia doplnkov konfigurujú usporiadané operácie Weblate a podmienky CEL. (zdokumentované) (zdroj: Definícia pracovného postupu)	Výrazy prijímajú kontext JSON namiesto objektov aplikácie. Pomocný proces s obmedzenými zdrojmi analyzuje a vyhodnocuje CEL bez vlastných väzieb funkcií; pracovné postupy nemôžu dodávať kód Python. Ide o odlišnú hranicu vyhodnocovania výrazov, nie o pieskovisko pre ľubovoľný Python. Na macOS pomocník vynucuje limity CPU a skutočného času, ale nie limit pamäte, takže výrazy môžu vyčerpať pamäť v rámci týchto časových limitov. (správca)	Existujúca autorita správy doplnkov riadi mutácie. Rozsahy operácií, validácia a potlačenie pôvodu automatizácie obmedzujú deklaratívne spustenia; vlastné doplnky Python si zachovávajú svoj samostatný model dôvery. (správca)

Predpoklady vstupu

Povrch	Vstup	Kontrolovateľné útočníkom?	Volajúci alebo operátor musí vynútiť
Formuláre prehliadača a REST API	Telá požiadaviek, reťazce dotazov, nahrané súbory, hlavičky, cookies	Áno, v rámci stavu autentifikácie aktéra. (zdokumentované) (zdroj: REST API Weblate)	HTTPS, správna konfigurácia hostiteľa/proxy, limity rýchlosti a priradenie oprávnení. (zdokumentované) (zdroj: Pokyny na konfiguráciu, Riadenie prístupu)
Koncové body autentifikácie	Heslá, údaje WebAuthn, spätné volania SSO, tokeny na resetovanie	Áno. (zdokumentované) (zdroj: Autentifikácia)	Správna konfigurácia poskytovateľa identity a HTTPS. (zdokumentované) (zdroj: Autentifikácia, ENABLE_HTTPS)
Tokeny s rozsahom projektu	Požiadavky API autentifikované tokenom	Áno, kýmkoľvek, kto vlastní token. (zdokumentované) (zdroj: REST API Weblate)	Ukladanie tokenov, rotácia a členstvo v tíme s najmenšími oprávneniami. (správca)
Obsah prekladu	Zdrojové reťazce, preklady, komentáre, návrhy, položky slovníka	Áno, od používateľov s príslušnými oprávneniami alebo z importovaných repozitárov. (zdokumentované) (zdroj: Prekladanie pomocou Weblate, Riadenie prístupu)	Pracovné postupy recenzie a priraďovanie oprávnení pre integritu obsahu špecifického pre projekt. (zdokumentované) (zdroj: Pracovné postupy prekladu, Riadenie prístupu)
Aggregate translation downloads	Súbory prekladov, šablóny, cesty a metadáta súborov z individuálne autorizovaných prekladov	Áno, od používateľov s oprávnením translation.download pre komponent a jazyk. (zdokumentované) (zdroj: REST API Weblate, Riadenie prístupu)	Filtrovať každú položku archívu podľa efektívneho oprávnenia na sťahovanie prekladu, vrátane obmedzení komponentov a jazykov. (správca)
Koncové body webhookov	Hlavičky, typ udalosti, telo, metadáta repozitára a vetvy	Áno, tam, kde je koncový bod dostupný. (zdokumentované) (zdroj: Háky notifikácií)	Povolenie hookov iba tam, kde je to potrebné, limity požiadaviek a monitorovanie. (správca)
Životný cyklus aplikácie GitHub	Spätné volania registrácie a inštalácie, kód GitHub OAuth, podpísaný stav Weblate, ID inštalácie, metadáta účtu, výbery migrácie komponentov a požiadavky na odstránenie pripojenia	Áno, od autentifikovaných používateľov Weblate a reťazcov dotazov presmerovania GitHub. (zdokumentované) (zdroj: Registrácia aplikácie GitHub z Weblate, Migrácia existujúcich komponentov)	Registrácia poverení aplikácie vyžaduje oprávnenie management.configure pre celú lokalitu. Pripojenie alebo odstránenie inštalácie vyžaduje práva na správu jej pracovného priestoru a Weblate overuje správu inštalácie na GitHube pred jej pripojením. Migrácia komponentov navyše vyžaduje oprávnenie na úpravu pre každý vybratý komponent. Odstránenie posledného pripojenia pracovného priestoru sa tiež pokúsi odinštalovať aplikáciu z GitHubu. (zdokumentované) (zdroj: Registrácia aplikácie GitHub z Weblate, Migrácia existujúcich komponentov)
Konfigurácia repozitára	URL repozitára, vetvy, URL na odosielanie, poverenia, možnosti odoslania recenzie Gerrit, nastavenia doplnkov a Parametre správy verzií ovládajúce vynútené odosielanie a správanie pull requestov	Dôveryhodné pre používateľov s príslušnými oprávneniami na správu. (zdokumentované) (zdroj: Riadenie prístupu, Nepretržitá lokalizácia) Doplnok automatického prekladu môže vytvoriť schválené reťazce, keď to efektívne nastavenia recenzie cieľového jazyka umožňujú. Konfigurácia tohto správania využíva oprávnenia na správu doplnkov namiesto oprávnenia na revíziu konfigurovacieho používateľa. (zdokumentované) (zdroj: Doplnky)	Priraďte oprávnenia na správu VCS a projektu iba dôveryhodným používateľom. (zdokumentované) (zdroj: Riadenie prístupu)
Obsah externého repozitára	Prekladové súbory, cesty, názvy vetiev, metadáta commitov	Áno, ak upstream repozitár kontroluje iný aktér. (správca)	Dôverujte nakonfigurovanému upstream repozitáru alebo skontrolujte importované zmeny. (správca)
Import zálohy projektu	Členovia archívu ZIP, metadáta, prekladové súbory, stav repozitára	Áno, pre kohokoľvek, kto môže nahrať alebo poskytnúť zálohu. (zdokumentované) (zdroj: Zálohy na úrovni projektu)	Udržujte limity importu na hodnotách primeraných pre inštanciu. (zdokumentované) (zdroj: Konfigurácia)
Export zálohy projektu	Požiadavky na vytvorenie zálohy a požadované názvy záložných súborov	Áno, pre používateľov alebo tokeny s rozsahom projektu s oprávnením na úpravu projektu. (zdokumentované) (zdroj: REST API Weblate, Zálohy na úrovni projektu, Riadenie prístupu)	Udeľte oprávnenie na úpravu projektu iba dôveryhodným administrátorom projektu. (zdokumentované) (zdroj: Riadenie prístupu)
Konfigurácia strojového prekladu a externých služieb	URL poskytovateľa, poverenia, nastavenia modelu alebo služby	Dôveryhodné pre administrátorov alebo používateľov s udelenými oprávneniami na konfiguráciu. (zdokumentované) (zdroj: Prekladové služby, Riadenie prístupu)	Považujte nakonfigurovaných poskytovateľov za príjemcov údajov, ktoré sú im odoslané; odoslaný obsah sa líši podľa poskytovateľa a povolenej funkcie. (správca)
Manažérske príkazy	Argumenty príkazového riadka a súbory dodané lokálnym operátorom	Dôveryhodný lokálny vstup, pokiaľ sa nespracovávajú údaje Weblate alebo zálohy projektu. (správca)	Obmedzte prístup k shellu na dôveryhodných operátorov. (správca)
Konfigurácia nasadenia	Premenné prostredia, argumenty kontajnera, pripojená konfigurácia, výber obrazu a manifesty pracovného zaťaženia alebo orchestrácie	Dôveryhodný vstup miestneho operátora. Systémy, ktoré delegujú vybrané hodnoty nasadenia menej dôveryhodným používateľom, zavádzajú externú hranicu dôvery; Weblate nepovažuje tieto hodnoty za nedôveryhodný vstup aplikácie. (správca)	Obmedzte prístup k nasadeniu na dôveryhodných operátorov a overte delegované hodnoty predtým, ako sa dostanú do Weblate. (správca)

Predpoklady veľkosti a rýchlosti:

• Weblate sa spolieha na limity nahrávania aplikácie a reverzného proxy pre veľké HTTP požiadavky. (zdokumentované) (zdroj: PROJECT_BACKUP_UPLOAD_MAX_SIZE)

• Importy záloh projektu sú obmedzené počtom členov, súhrnnou nekomprimovanou veľkosťou, komprimovanou veľkosťou položky, minimálnou veľkosťou pomeru a nastaveniami pomeru kompresie. (zdokumentované) (zdroj: Konfigurácia)

• SAML identity-provider authentication requests are bounded in encoded and expanded size before XML parsing. (maintainer)

• Metadáta zálohy projektu, odkazy na objekty, cesty repozitára, odchádzajúce URL, regulárne výrazy a obsah snímok obrazovky sú overené predtým, než obnova zapíše stav projektu. Neúspešné obnovy odstránia objekty repozitára a médií vytvorené týmto pokusom. (zdokumentované) (zdroj: Zálohy na úrovni projektu)

• Očakáva sa, že API a vybrané webové akcie budú chránené nakonfigurovanými limitmi rýchlosti. (zdokumentované) (zdroj: REST API Weblate, Konfigurácia)

• Veľkosť repozitára, počet projektov, počet komponentov a kapacita pracovníka sú otázkami dimenzovania nasadenia, pokiaľ jediný vstup v rozsahu neobíde zdokumentované limity alebo oprávnenia. (správca)

Model protivníka

Aktér	Schopnosti v rozsahu	Schopnosti mimo rozsahu
Neautentifikovaný internetový klient	Odosielanie HTTP(S) požiadaviek na verejné stránky, registráciu, prihlásenie, API a dosiahnuteľné koncové body webhookov. (zdokumentované) (zdroj: REST API Weblate)	Čítanie pamäte servera, obchádzanie ovládacích prvkov reverzného proxy alebo priamy prístup k interným službám. (správca)
Autentifikovaný používateľ	Vykonávanie akcií povolených priradenými tímami, oprávneniami a pracovným postupom. (zdokumentované) (zdroj: Riadenie prístupu)	Konanie mimo pridelených oprávnení bez zneužitia chyby Weblate. (zdokumentované) (zdroj: Riadenie prístupu)
Recenzent alebo projektový manažér	Uplatňovanie delegovaných oprávnení projektu, komponentu, jazyka, recenzie, VCS, prekladovej pamäte, snímok obrazovky alebo správy prístupu. (zdokumentované) (zdroj: Riadenie prístupu)	Stať sa administrátorom stránky, pokiaľ mu táto rola nie je udelená alebo nevyužije chybu Weblate. (správca)
Držiteľ API tokenu s rozsahom projektu	Používanie oprávnení API priradených členstvám tokenu v tímoch, vrátane vytvárania a sťahovania záloh projektu, ak je udelené oprávnenie na úpravu projektu. (zdokumentované) (zdroj: REST API Weblate, Riadenie prístupu, Zálohy na úrovni projektu)	Prístup k projektom, komponentom alebo funkciám celej stránky mimo jeho rozsahu. (zdokumentované) (zdroj: Riadenie prístupu)
Odosielateľ webhooku	Odoslať falšované, opakované, chybné alebo vysokokapacitné požiadavky webhooku na povolené koncové body hookov a pozorovať zdokumentovanú diagnostiku zhody. (zdokumentované) (zdroj: Háky notifikácií, Zhodné ciele webhookov)	Získanie identity overenej formou tam, kde ju Weblate neoveruje. (správca)
Externý poskytovateľ VCS alebo služby	Vrátenie údajov repozitára, odpovedí API, presmerovaní alebo chýb podľa nakonfigurovanej integrácie. (zdokumentované) (zdroj: Integrácie s platformami na hosťovanie kódu)	Kompromitácia hostiteľa Weblate okrem prostredníctvom správania údajov alebo protokolu, ktoré Weblate spracováva. (správca)
Prekladateľ alebo prispievateľ lokalizácie	Odoslanie obsahu prekladu, ktorý môžu spotrebovať downstream aplikácie. (zdokumentované) (zdroj: Model hrozieb lokalizácie)	Kontrola escapovania, vykresľovania alebo politiky recenzie downstream aplikácie mimo Weblate. (zdokumentované) (zdroj: Model hrozieb lokalizácie)
Lokálny operátor	Spúšťanie správcovských príkazov, zmena konfigurácie a prístup k zálohám. (zdokumentované) (zdroj: Manažérske príkazy, Zálohovanie a presun Weblate)	Lokálni škodliví operátori sú pre tento model dôveryhodní. (správca)

Modelovaný útočník sa pokúša obísť autorizáciu, upraviť údaje prekladu alebo repozitára bez povolenia, odhaliť súkromné údaje projektu alebo používateľa, falšovať alebo zneužiť synchronizáciu repozitára, spustiť nebezpečné odchádzajúce požiadavky, vykonať príkazy prostredníctvom pracovných postupov riadených Weblate alebo vyčerpať ohraničené zdroje aplikácie. (správca)

Bezpečnostné vlastnosti, ktoré Weblate poskytuje

Vlastnosť	Podmienky	Príznak porušenia	Úroveň závažnosti
Webová autorizácia oddeľuje oprávnenia na správu lokality, projektu, komponentu, jazyka, slovníka, VCS, prekladovej pamäte, snímok obrazovky, revízií a prístupu. (zdokumentované) (zdroj: Riadenie prístupu, Autentifikácia, Prekladová pamäť)	Priradenia oprávnení zodpovedajú zamýšľanému vzťahu dôvery. Vynútené 2FA na úrovni tímu je splnené ľudskými používateľmi pred aplikáciou oprávnení odvodených od tímu. Čakajúce registrácie aplikácií autentifikátora nespĺňajú požiadavky 2FA. Registrácia vyžaduje platný, jednorazový kód TOTP a nemôže byť dokončená viac ako raz, vrátane súbežných odoslaní. (zdokumentované) (zdroj: Dvojfaktorová autentifikácia) Správcom komponentov sa dôveruje pri konfigurácii operácií, ktoré môžu ovplyvniť obsah repozitára, napríklad výberom súborov cez nastavenia komponentu, konfiguráciou doplnkov alebo povolením vynútených pushov a správania požiadaviek na stiahnutie cez Parametre správy verzií. Doplnky sú trvalá administratívna konfigurácia: doplnky projektu a kategórie fungujú na kompatibilných obmedzených potomkoch, zatiaľ čo doplnky komponentov môžu konzumovať vstupy medzi komponentmi zdokumentované doplnkom. Ich identity služieb a nakonfigurovaná autorita nezávisia od neskoršieho stavu účtu alebo oprávnení konfigurujúceho používateľa. Zálohy projektu podobne obsahujú každý komponent v projekte, vrátane obmedzených komponentov. V dôsledku toho obmedzenia komponentov chránia bežný priamy prístup, ale nie sú hranicou izolácie proti týmto zdokumentovaným administratívnym schopnostiam. Používateľom s právami na správu pracovného priestoru sa dôveruje pri pripájaní a odstraňovaní jeho inštalácií aplikácie GitHub; odstránenie posledného pripojenia pracovného priestoru môže odinštalovať aplikáciu z GitHubu. Migrácia komponentov aplikácie GitHub samostatne vyžaduje oprávnenie na úpravu pre každý vybraný komponent. Prepojenie repozitára rozširuje túto dôveru na správcov každého prepojeného komponentu pre úplné zdieľané checkout. Oprávnenia pre explicitné akcie VCS sa kontrolujú na komponente vlastniacom repozitár. Prepojenie akceptuje túto autoritu vlastníka nad úplným zdieľaným checkout; oprávnenia na downstream prepojených komponentoch ani neudeľujú, ani nevetoujú explicitnú autoritu VCS. Akcie VCS v rámci celého projektu vynechávajú repozitáre, kde táto kontrola oprávnení zlyhá; čiastočne neoperujú na jednotlivom zdieľanom checkout. Explicitné akcie VCS zfrontované z prehliadača alebo API si zachovávajú iniciujúceho používateľa, serializujú prístup k postihnutým repozitárom a pred mutáciou znovu skontrolujú oprávnenie tohto používateľa na aktuálnom vlastníkovi repozitára v pracovníkovi. Bežné commitovanie a pushovanie autorizovaných zmien prekladu na pozadí vo Weblate nevyžaduje, aby mal editor tieto oprávnenia VCS. Oprávnenie reports.view autorizuje všetky údaje správy vo vybranom rozsahu, vrátane súkromných projektov a obmedzených komponentov pod ním. Úplný prístup k správam na úrovni pracovného priestoru vyžaduje dvojfaktorovú autentifikáciu pre bežných používateľov, ak ju vynucuje akýkoľvek projekt v pracovnom priestore. Superužívatelia a účty botov sú oslobodení. Prekladová pamäť pripísaná existujúcemu obmedzenému komponentu nasleduje pravidlá prístupu tohto komponentu. Nepripísaná automatická pamäť, vrátane nezhodných starších záznamov a pamäte zachovanej po odstránení komponentu, nasleduje jej zostávajúci rozsah prekladovej pamäte. Súkromné a vlastné zapájacie stránky projektov a vykreslené widgety stavu nasledujú riadenie prístupu projektu, pokiaľ dôveryhodný správca prístupu nepovolí Verejné zdieľanie. Toto explicitné prihlásenie zverejňuje názvy projektov a komponentov, vrátane obmedzených komponentov, spolu so štatistikami prekladu, jazykmi a pokrokom, ale neudeľuje prístup k obsahu projektu alebo API.	Používateľ alebo token môže čítať alebo meniť údaje mimo prideleného rozsahu.	Kritické pre bezpečnosť, keď sú vystavené súkromné údaje alebo privilegovaná mutácia.
API tokeny s rozsahom projektu sú obmedzené pridelenými oprávneniami projektu/tímu. (zdokumentované) (zdroj: REST API Weblate, Riadenie prístupu)	Token je vytvorený a uložený dôveryhodným aktérom.	Token môže konať mimo rozsahu projektu alebo tímu.	Kritické pre bezpečnosť.
Kontroly autentifikácie a relácie chránia relácie prehliadača, keď sú nastavenia HTTPS a proxy správne. Čakajúce relácie druhého faktora sú viazané na aktuálny stav autentifikácie heslom a opakované zamietnuté odoslania druhého faktora uzamknú prihlasovanie heslom podľa AUTH_LOCK_ATTEMPTS. (zdokumentované) (zdroj: Autentifikácia, ENABLE_HTTPS)	Produkčné nastavenia HTTPS a zabezpečených cookies sú povolené.	Fixácia relácie, obídenie poverení, zámena relácie medzi používateľmi alebo čakajúce prihlasovanie heslom zostávajúce použiteľné po zmene hesla alebo uzamknutí účtu.	Kritické pre bezpečnosť.
Očakáva sa, že obsah dodaný používateľom a vykreslený Weblate nebude vykonávať skript v prehliadačoch iných používateľov. (správca)	Obsah sa zobrazuje prostredníctvom šablón používateľského rozhrania Weblate a štandardného escapovania.	Uložený alebo odrazený XSS v pôvode Weblate.	Kritické pre bezpečnosť.
Vstupy repozitára, vetvy, cesty a VCS spracované Weblate sa nesmú stať vykonaním príkazu shellu. (správca)	Operácie VCS sa vyvolávajú prostredníctvom pracovných postupov repozitára podporovaných Weblate a nakonfigurovaných poverení. Obnovy záloh projektu umožňujú iba nevykonateľný stav repozitára Git, git-svn a Mercurial a znovuvytvárajú lokálnu konfiguráciu repozitára z overených nastavení komponentu. Weblate nevyplňuje Git submoduly (pozri Git submoduly).	Vstrekovanie príkazov alebo vykonávanie ľubovoľného kódu ako používateľ Weblate.	Kritické pre bezpečnosť.
Private project data other than documented generic webhook matching diagnostics, metadata published through Verejné zdieľanie, translations explicitly published through Zdieľaná prekladová pamäť, and translations, build identifiers, and resource mappings explicitly published through CDN add-ons, user data, credentials, tokens, SSH keys, and 2FA secrets are not disclosed to actors lacking permission. (documented) (source: Riadenie prístupu, Súlad s predpismi o ochrane súkromia, Integrácia verziovania)	Host, database, and storage permissions are intact. User-configurable repository and push URLs cannot address the server filesystem. Generic webhook responses expose only the match counts, project/component slugs, and API URLs documented in Zhodné ciele webhookov. Public sharing permits unauthenticated access to engage pages and rendered status widgets, exposing project and component names, including restricted components, translation statistics, languages, and progress. It does not grant access to project content or APIs. Repository content deliberately shared through linked components follows the linked repository trust boundary. Project repository permission diagnostics identify accessible repository owners where an operation requires permission, but do not expose inaccessible component identities or blocked repository content or status. Custom add-ons list only non-sensitive fields as public configuration; unlisted values are redacted from public change history. Installing the Kotlin SDK CDN add-on explicitly publishes translations, application package names and version codes, and the names and submitted IDs of published resources from that component to unauthenticated CDN clients, including for private projects. CDN storage and cached client copies are outside project access controls; removing origin files cannot revoke previously downloaded copies. Enabling shared translation memory contribution explicitly publishes source strings, translations, and project and component origin outside project access controls, including for Private and Custom projects.	Cross-project data leak not covered by the documented generic webhook diagnostics, public-sharing metadata, explicit shared-memory or CDN publication, or linked-repository trust boundary, credential exposure, or unauthorized export.	Kritické pre bezpečnosť.
Import zálohy odmieta archívy presahujúce zdokumentované prahy nahrávania, počtu členov, súhrnnej veľkosti a podozrivej kompresie. (zdokumentované) (zdroj: Konfigurácia, Zálohy na úrovni projektu)	Predvolené alebo prísnejšie limity zostávajú nakonfigurované.	Nadmerný alebo vysoko amplifikovaný archív je prijatý nad nakonfigurované prahy.	Kritické pre bezpečnosť pri DoS s jednou požiadavkou; inak chyba dostupnosti.
Zdokumentované používateľsky konfigurovateľné povrchy odchádzajúcich URL predvolene odmietajú interné alebo neverejné ciele. (zdokumentované) (zdroj: ASSET_RESTRICT_PRIVATE, PROJECT_WEB_RESTRICT_PRIVATE, WEBHOOK_RESTRICT_PRIVATE, VCS_RESTRICT_PRIVATE)	Predvolené kontroly súkromných cieľov sú povolené a neuplatňuje sa žiadna dôveryhodná výnimka zo zoznamu povolených. Priame chránené HTTP požiadavky a operácie Git HTTPS a SSH si zachovávajú väzbu adresy, obmedzenia VCS zostávajú povolené a backendy VCS bez väzby používajú iba explicitne dôveryhodných hostiteľov. Nakonfigurované HTTP proxy pre jednotlivé protokoly zostávajú dôveryhodnou smerovacou infraštruktúrou.	Používateľsky konfigurovateľná URL snímky obrazovky, vzdialená URL HTML, URL webovej stránky projektu alebo prehliadača repozitára, odchádzajúca URL webhooku alebo URL VCS dosiahne interný alebo neverejný cieľ napriek predvoleným ovládacím prvkom.	Kritické pre bezpečnosť, keď vystavuje interné služby alebo metadáta.
Weblate zaznamenáva bezpečnostne relevantné zmeny účtu, oprávnení, životného cyklu fakturácie, uzamknutia obmedzenia rýchlosti autentifikovaných webových akcií a nastavení projektu alebo komponentu v auditných logoch alebo histórii. Auditné položky odstránenia účtu si ponechávajú bývalú e-mailovú adresu do AUDITLOG_EXPIRY. (zdokumentované) (zdroj: Súlad s predpismi o ochrane súkromia, Obmedzovanie rýchlosti, Fakturácia, Weblate 2026.11)	Protokolovanie je nakonfigurované, úložisko je dostupné a AUDITLOG_EXPIRY odráža zamýšľanú retenciu operátora.	Chýbajúci audítorský záznam o akcii, o ktorej Weblate tvrdí, že ju zaznamenáva, alebo uchovávanie osobných údajov po uplynutí nakonfigurovanej exspirácie audítorského záznamu.	Kritické z hľadiska bezpečnosti (Security-critical), ak blokuje vyšetrovanie zmien s privilegovanými právami alebo odhaľuje uchovávané osobné údaje; s dopadom na súkromie (Privacy-impacting), ak uchovávanie údajov prekročí nakonfigurovanú lehotu; týkajúce sa iba správnosti (Correctness-only) v prípade menších výpadkov v zaznamenávaní udalostí.
Samoobslužné vytvorenie skúšky udeľuje iba určený komerčný skúšobný plán alebo plán Libre setup. (správca)	Nasadenie ponúka samoobslužné skúšky hostingu.	Autentifikovaný používateľ môže pri vytváraní skúšky vybrať iný verejný, súkromný alebo interný fakturačný plán.	Kritické pre bezpečnosť, keď toto obchádza limity platenej služby.
API a webové akcie s obmedzením rýchlosti vynucujú nakonfigurované limity rýchlosti. (zdokumentované) (zdroj: REST API Weblate, Konfigurácia)	Obmedzenie rýchlosti je povolené a podporené fungujúcim úložiskom dát.	Požiadavky presahujúce nakonfigurované prahy sa naďalej spracovávajú.	Zabezpečenie dostupnosti/bezpečnosti v závislosti od citlivosti koncového bodu.
Vstavané kontroly kvality prekladu nesmú umožniť obsahu kontrolovanému používateľom v rámci nakonfigurovaných limitov veľkosti monopolizovať synchronných request workerov neprimeranou spotrebou zdrojov. (správca)	Kontrola je povolená a beží počas podporovaného zápisu prekladu z prehliadača alebo API.	Jeden prijatý preklad spôsobí spotrebu CPU alebo pamäte neprimeranú svojej veľkosti a zastaví request workera.	Kritické pre bezpečnosť pri DoS s jednou požiadavkou; inak chyba dostupnosti.
Všeobecné webhooky plánujú aktualizácie repozitára iba pre oprávnené komponenty, ktorých URL repozitára sa presne zhoduje s URL repozitára z obsahu, vrátane zdokumentovaných variantov URL. Komponenty spravované prostredníctvom autentifikovanej integrácie sú vylúčené zo všeobecného priraďovania a diagnostiky. Všeobecné odpovede odhaľujú iba zdokumentovanú diagnostiku zhody pre oprávnené komponenty. (zdokumentované) (zdroj: Zhodné ciele webhookov)	Hooky sú povolené a doručenie dosiahne koncový bod hooku v rozsahu.	Doručenie aktualizuje komponent, ktorého URL repozitára sa presne nezhoduje s obsahom, vrátane cez záložné priraďovanie podľa prípony hostiteľa alebo cesty, alebo všeobecné doručenie aktualizuje alebo odhalí komponent spravovaný prostredníctvom autentifikovanej integrácie, alebo odpoveď odhalí informácie o komponente nad rámec zdokumentovaných polí.	Bezpečnostne kritické, ak spôsobí neoprávnenú synchronizáciu repozitára naprieč nesúvisiacimi komponentmi; inak ide o správnosť alebo posilnenie bezpečnosti.
Weblate zámerne nevystavuje databázu, úložisko dát, úložisko záloh ani surové interné úložisko priamo cez verejné webové rozhranie; exportované repozitáre VCS sú zámerne vystavené Git exporter, keď je tento voliteľný modul povolený; autorizované sťahovania záloh projektu sú zámerne vystavené cez zdokumentované trasy záloh projektu. (zdokumentované) (zdroj: REST API Weblate, Zálohy na úrovni projektu) (správca)	Nasadenie neposkytuje cesty interného úložiska ako statické súbory okrem zdokumentovaných funkcií exportu.	Verejná požiadavka načíta surové interné úložisko, konfiguráciu alebo neexportované údaje repozitára.	Kritické pre bezpečnosť.

Prahy zdrojov v tomto modeli sú zdokumentované predvolené hodnoty konfigurácie, ak existujú, najmä limity importu záloh a limity rýchlosti. Pre veľkosť repozitára, počet projektov, počet komponentov a objem prekladu Weblate netvrdí, že má pevný univerzálny strop zdrojov nezávislý od kapacity nasadenia. (správca)

Objavovanie komponentov obmedzuje prácu s prechádzaním repozitárom a párovaním maskami súborov, aj keď obsah repozitára ovláda masky; pozri limity objavovania komponentov. (správca)

Bezpečnostné vlastnosti, ktoré Weblate neposkytuje

Weblate neautentifikuje každé doručenie webhooku kryptograficky pre všetky podporované integrácie foriem. Koncové body hookov sú orientované na kompatibilitu a odolné voči nasadeniu, nie jednotne overené formou. Hlásenia, ktoré ukazujú iba neautentifikované spustenie v rámci modelovaných efektov, sú VALID-HARDENING namiesto BY-DESIGN. (správca)

Weblate does not make an unauthenticated webhook equivalent to a trusted forge identity. Hook processing can trigger update workflows, and generic responses can confirm repository registration and reveal match counts, project/component slugs, and API URLs, including for private projects and restricted components. Components managed through an authenticated integration are excluded from this generic behavior. Generic deliveries are not application-rate-limited or coalesced: repository operations are serialized for consistency, but each matching delivery can record a hook event and schedule an update attempt. An unchanged repository still requires a remote fetch before the update stops without merging or parsing translation files. Attribution and authenticity are weaker than for an authenticated user or token. (maintainer)

Práca na pozadí vyžiadaná používateľom je autorizovaná, keď Weblate prijme a zaradí požiadavku do frontu. Úlohy na pozadí nie vždy znovu overujú oprávnenia iniciujúceho používateľa pri ich vykonávaní. Neskoršie zmeny v účte používateľa, oprávneniach alebo členstvách v tímoch teda spoľahlivo nezabránia dokončeniu už autorizovanej práce. (správca)

Weblate nie je sandbox pre škodlivých administrátorov, škodlivých lokálnych operátorov, doplnky tretích strán, vlastný kód nasadenia, klienty VCS alebo zálohovacie nástroje. (správca)

Weblate nezaručuje, že obsah prekladu je bezpečný, keď sa skopíruje do downstream produktu bez vlastného escapovania, validácie alebo recenzie tohto produktu. Kontroly prekladu a pracovné postupy recenzie pomáhajú spravovať kvalitu a riziko lokalizácie; nie sú kompletnou bezpečnostnou hranicou downstream aplikácie. (zdokumentované) (zdroj: Model hrozieb lokalizácie, Kontroly a opravy)

Falošní priatelia:

• Oprávnenia Weblate sú autorizáciou aplikácie, nie sandboxom hostiteľa. Používateľ s udelenými oprávneniami na správu VCS alebo projektu môže zámerne konfigurovať integrácie v rámci právomoci tejto roly. (správca)

• Priraďovanie projektu webhooku a parsovanie udalostí nie sú dôkazom, že odosielateľ je legitímna forma, keď integrácia neoveruje doručenie. (správca)

• Kontroly prekladu detegujú bežné problémy s kvalitou a formátom; nie sú zárukou, že preložené reťazce sú bezpečné pre každý downstream vykresľovač. (zdokumentované) (zdroj: Kontroly a opravy, Model hrozieb lokalizácie)

• Šifrovanie BorgBackup chráni záložné archívy podľa dizajnu Borg; Weblate nepridáva samostatnú kryptografickú záruku pre interné mechanizmy Borg. (zdokumentované) (zdroj: Zálohovanie a presun Weblate)

• Limity rýchlosti znižujú zneužívanie nakonfigurovaných koncových bodov; nie sú zárukou dostupnosti pri objemových sieťových útokoch. (správca)

Dobre známe triedy útokov ponechané čiastočne alebo úplne na nasadení alebo downstream systémoch:

• Phishing a opätovné použitie poverení sú zmierňované politikou autentifikácie a 2FA, ale Weblate nemôže zabrániť používateľom v prezradení poverení mimo služby. (správca)

• Škodlivé preklady sa môžu stať problémami XSS, formátovacích reťazcov, príkazov alebo politík v downstream aplikáciách, ktoré ich vykresľujú nebezpečne. (zdokumentované) (zdroj: Model hrozieb lokalizácie)

• Používateľsky konfigurovateľné povrchy odchádzajúcich URL so zdokumentovanými obmedzeniami súkromných cieľov predvolene odmietajú interné alebo neverejné ciele; privilegované zoznamy povolených, proxy a konfigurácia kontrolovaná administrátorom môžu zámerne rozšíriť dosiahnuteľnosť. (správca)

• Veľké histórie repozitárov, rozsah projektu a objem úloh na pozadí vyžadujú dimenzovanie nasadenia a prevádzkové limity nad rámec validácie jedného vstupu Weblate. (správca)

Zodpovednosti downstream

Operátori musia nasadiť Weblate za produkčné HTTPS so správnymi hlavičkami proxy, názvami hostiteľov, limitmi veľkosti požiadaviek a správaním zabezpečených cookies. (zdokumentované) (zdroj: Pokyny na konfiguráciu, ENABLE_HTTPS, ALLOWED_HOSTS)

Prevádzkovatelia, ktorí povoľujú preposielanie IP adries klientov, musia dôverovať iba reverzným proxy serverom pod ich kontrolou a zabrániť nedôveryhodným klientom v obchádzaní týchto proxy serverov, aby dosiahli Weblate priamo. (zdokumentované) (zdroj: WEBLATE_TRUSTED_PROXY_ADDRESSES, Beh za reverzným proxy)

Operátori musia priradiť tímy, roly, tokeny s rozsahom projektu, poverenia VCS a oprávnenia na správu projektu podľa princípu najmenších oprávnení pre svoju organizáciu. (zdokumentované) (zdroj: Riadenie prístupu, REST API Weblate)

Operators exposing Háky notifikácií must enable them only where needed and provide capacity monitoring, body-size limits, and optional source restrictions or edge controls appropriate for their provider traffic. They must accept the documented identifier disclosure and per-delivery scheduling cost or use authenticated integrations where available. (maintainer)

Operátori musia považovať zoznamy povolených súkromných cieľov, proxy a privilegované nastavenia odchádzajúcej integrácie za zámerné rozšírenie predvolených limitov sieťovej dosiahnuteľnosti Weblate. (správca)

Operátori musia udržiavať limity importu záloh, limity rýchlosti API a limity rýchlosti webu na hodnotách, ktoré zodpovedajú kapacite a expozícii inštancie. (zdokumentované) (zdroj: Konfigurácia)

Operátori musia chrániť dátový adresár Weblate, konfiguráciu, poverenia záloh, generované kľúče, databázu, úložisko dát a prístup k lokálnemu shellu ako dôveryhodnú infraštruktúru. (zdokumentované) (zdroj: Zálohovanie a presun Weblate, Pokyny na konfiguráciu)

Tímy downstream produktov musia zaobchádzať s preloženými reťazcami ako s nedôveryhodným obsahom vo svojich vlastných aplikáciách, pokiaľ ich samostatne neskontrolovali, neescapovali a nevalidovali pre cieľový vykresľovač. (zdokumentované) (zdroj: Model hrozieb lokalizácie)

Známe vzorce zneužitia

• Široké vystavovanie koncových bodov webhookov, povoľovanie hákov projektu a spoliehanie sa na payloady webhookov ako na autentifikovanú identitu formy. Toto je nebezpečné, pretože niektoré podporované háky sú orientované na kompatibilitu a vracajú diagnostiku zhody. Použite ovládacie prvky nasadenia a uprednostnite autentifikované integrácie, kde sú dostupné. (správca)

• Udeľovanie oprávnení na pracovný priestor, projekt, VCS alebo správu prístupu používateľom, ktorí sú dôveryhodní len ako prekladatelia. Toto je nebezpečné, pretože tieto oprávnenia môžu ovplyvniť pripojenia hostingu kódu, repozitáre, poverenia alebo iných používateľov. Priraďte užšie role. (zdokumentované) (zdroj: Riadenie prístupu, Integrácie s platformami na hosťovanie kódu)

• Prideľovanie oprávnení v celej inštancii rolám určeným na obmedzené delegovanie projektu alebo helpdesku. Oprávnenia v celej inštancii sa uplatňujú v celej inštancii a nie sú zúžené výberom projektu tímu. Najmä group.edit povoľuje zmenu rozsahu tímu v celej inštancii a udelenie prístupu členom tímu k súkromným projektom, ku ktorým správca nemôže pristupovať priamo, zatiaľ čo user.edit povoľuje zmenu členstva v tíme a stavu superužívateľa pre upraviteľné účty, vrátane vlastného účtu volajúceho. Delegujte oprávnenia prostredníctvom tímov projektu alebo pracovného priestoru pre obmedzené rozsahy. (zdokumentované) (zdroj: Riadenie prístupu)

• Odosielanie citlivých zdrojových reťazcov alebo súkromného obsahu zákazníka poskytovateľom strojového prekladu bez toho, aby sa s poskytovateľom zaobchádzalo ako s príjemcom údajov. Toto je nebezpečné, pretože Weblate musí preniesť obsah do nakonfigurovanej služby a odoslaný obsah sa líši podľa poskytovateľa a povolenej funkcie. Nakonfigurujte poskytovateľov podľa politiky údajov pre projekt. (správca)

• Importovanie záloh projektu z nedôveryhodných zdrojov ako administratívne uľahčenie. Toto je nebezpečné, pretože zálohy obsahujú metadáta projektu, obsah prekladu a stav repozitára. Udržujte limity importu povolené a importujte iba zálohy vhodné pre cieľovú inštanciu. (zdokumentované) (zdroj: Zálohovanie a presun Weblate)

• Považovanie kontrol prekladu Weblate za dôkaz, že downstream aplikácie nemôžu byť napadnuté prostredníctvom preložených reťazcov. Toto je nebezpečné, pretože downstream vykresľovač definuje konečný kontext vykonania. Skontrolujte a escapujte preklady v spotrebiteľskej aplikácii. (zdokumentované) (zdroj: Model hrozieb lokalizácie)

Známe nenálezy

• A report that a reachable webhook can be called without forge authentication and only triggers modeled update scheduling or returns the documented matching diagnostics is not VALID by itself. A finite sequence of accepted requests or the absence of an application-level 429 response does not demonstrate an availability failure. It is routed to VALID-HARDENING unless it bypasses documented limits, matches unrelated repositories, leaks data beyond the documented fields, causes disproportionate resource consumption or sustained service degradation, or has effects beyond modeled per-delivery scheduling. (maintainer)

• Hlásenie, že webhook neaktualizuje komponent, ktorého URL repozitára zdieľa s obsahom webhooku iba príponu hostiteľa alebo cesty, nie je zraniteľnosť; Weblate zhoduje iba presné URL repozitárov a zdokumentované varianty. (zdokumentované) (zdroj: Zhodné ciele webhookov)

• Hlásenie, že projektový manažér môže zmeniť nastavenia repozitára, poverenia VCS alebo konfiguráciu projektu, nie je zraniteľnosťou, keď aktér má zdokumentované oprávnenie pre túto akciu. (zdokumentované) (zdroj: Riadenie prístupu)

• A report that source strings, translations, or project and component origin from a Private or Custom project are available through shared translation memory is not a vulnerability when an authorized manager explicitly enabled contribution. Shared contribution publishes this data outside project access controls. Restricted components remain excluded. (documented) (source: Zdieľaná prekladová pamäť, Pamäť)

• Hlásenie obsahujúce údaje súkromného projektu alebo obmedzeného komponentu nie je zraniteľnosťou, keď má používateľ efektívne oprávnenie reports.view na vybranom nadradenom rozsahu. Toto oprávnenie zámerne autorizuje kompletný rozsah správ. (zdokumentované) (zdroj: Hlásenie pokroku prekladu, Riadenie prístupu)

• Skutočnosť, že správca projektu môže získať obmedzených potomkov z úplnej zálohy projektu, alebo že správca doplnkov môže nakonfigurovať základný doplnok na spracovanie jeho zdokumentovaných obmedzených potomkov alebo vstupov medzi komponentmi, nie je zraniteľnosťou. Ide o trvalé administratívne schopnosti a nededia priamu viditeľnosť komponentov konfigurujúceho používateľa. (zdokumentované) (zdroj: Doplnky, Zálohy na úrovni projektu, Riadenie prístupu)

• Hlásenie proti správaniu doplnku tretej strany nie je zraniteľnosťou jadra Weblate, pokiaľ hlásenie neukazuje, že sú obídené hranice oprávnení alebo inštalácie Weblate. (správca)

• Hlásenie, že škodlivý lokálny operátor môže čítať konfiguráciu, spúšťať správcovské príkazy alebo meniť súbory, je mimo modelu, pretože lokálni operátori sú dôveryhodná infraštruktúra. (správca)

• Hlásenie, že premenná prostredia, argument kontajnera alebo pripojená konfigurácia dodaná operátorom môže zmeniť vygenerovanú konfiguráciu služby, nie je zraniteľnosťou. Ide o dôveryhodné vstupy nasadenia. Vrstva CI/CD, GitOps, PaaS, Helm alebo iná vrstva orchestrácie, ktorá umožňuje menej dôveryhodným používateľom nastaviť vybrané hodnoty, vlastní túto hranicu delegovania a musí overiť hodnoty pred zostavením pracovného zaťaženia Weblate. (správca)

• Hlásenie, že downstream aplikácia vykresľuje nebezpečný preklad, nie je zraniteľnosťou Weblate, pokiaľ samotný Weblate neporuší deklarovanú vlastnosť pri ukladaní, kontrole, recenzii alebo zobrazovaní tohto prekladu. (zdokumentované) (zdroj: Model hrozieb lokalizácie)

Podmienky, ktoré menia tento model

Preskúmajte tento model, keď zmeny ovplyvnia verejné rozhrania, autentifikáciu alebo autorizáciu, predpoklady nasadenia, spracovanie nedôveryhodného vstupu, externé integrácie, schopnosti vykonávania alebo bezpečnostne relevantné predvolené hodnoty. Preskúmajte, či existujúci rozsah, aktéri, hranice dôvery, predpoklady, bezpečnostné vlastnosti a triediace rozhodnutia stále pokryjú zmenu. (správca)

Tento model revidujte v rámci tej istej zmeny iba vtedy, keď sa tieto prvky zmenia alebo vznikne medzera. To zahŕňa situácie, keď sa z nepodporovaného komponentu stane podporovaná súčasť produktu, zmení sa deklarovaná bezpečnostná vlastnosť alebo ak ide o schválené hlásenie o zraniteľnosti, ktoré nie je možné priradiť k existujúcemu rozhodnutiu o triáži. (maintainer)

Funkcie, ktoré nasledujú existujúce hranice a bezpečnostné vlastnosti, nepotrebujú samostatné položky. Ponechajte schémy koncových bodov, detaily oprávnení, inštrukcie na konfiguráciu, mechaniku implementácie a číselné limity v príslušnej dokumentácii funkcie alebo správy. Odkážte na túto dokumentáciu, keď je potrebný detail na vysvetlenie odlišnej hranice, výnimky alebo výsledku triedenia. Preskúmanie, ktoré potvrdzuje existujúce pokrytie, nevyžaduje úpravu modelu hrozieb. (správca)

Triediace rozhodnutia

Rozhodnutie	Význam	Licencované
VALID	Porušuje vlastnosť, ktorú Weblate deklaruje, prostredníctvom aktéra a vstupu v rozsahu.	Bezpečnostné vlastnosti, ktoré Weblate poskytuje, Predpoklady vstupu, Model protivníka
VALID-HARDENING	Žiadna deklarovaná vlastnosť nie je porušená, ale Weblate sa rozhodne znížiť známe riziko zneužitia, ako je spúšťanie kompatibilného webhooku, ktoré zostáva v rámci modelovaných efektov.	Známe vzorce zneužitia, Bezpečnostné vlastnosti, ktoré Weblate neposkytuje
OUT-OF-MODEL: trusted-input	Vyžaduje, aby útočník ovládal vstup, ktorý tento model označuje ako dôveryhodný.	Predpoklady vstupu
OUT-OF-MODEL: adversary-not-in-scope	Vyžaduje schopnosť, ktorú tento model vylučuje.	Model protivníka
OUT-OF-MODEL: unsupported-component	Spadá do doplnkov tretích strán, generovanej dokumentácie, testov, lokálnych úprav alebo iného komponentu označeného ako mimo rozsahu.	Mimo rozsahu
OUT-OF-MODEL: non-default-build	Prejaví sa až po voľbách nasadenia, ktoré vedome odstránia deklarovanú vlastnosť.	Varianty zostavovania a konfigurácie
BY-DESIGN: property-disclaimed	Týka sa vlastnosti, ktorú Weblate explicitne neposkytuje.	Bezpečnostné vlastnosti, ktoré Weblate neposkytuje
KNOWN-NON-FINDING	Zodpovedá zdokumentovanému opakujúcemu sa falošnému pozitívu.	Známe nenálezy
MODEL-GAP	Nemožno čisto smerovať do žiadneho vyššie uvedeného rozhodnutia.	Podmienky, ktoré menia tento model