வலைபெயர்ப்பு அச்சுறுத்தல் மாதிரி

Project: வலைபெயர்ப்பு

Last reviewed for Weblate 2026.11 at commit af7a54c07c.

Date: 2026-09-24.

Status: Accepted, 2026-09-01.

Version binding: This மாதிரியுரு is versioned with வலைபெயர்ப்பு releases. A report against வலைபெயர்ப்பு version N is triaged against the மாதிரியுரு published க்கு version N, not against the latest வளர்ச்சி branch. (maintainer)

அறிக்கை cross-reference: Reports that violate a property வலைபெயர்ப்பு claims in Security பண்புகள் வலைபெயர்ப்பு provides அரே reported through SECURITY.md and பாதிப்பு மற்றும் சம்பவ கையாளுதல். Reports that fall under Out of scope or Security பண்புகள் வலைபெயர்ப்பு does not provide can be closed by citing this ஆவணம் unless this மாதிரியுரு routes them பெறுநர் VALID-HARDENING. (documented) (source: பாதிப்பு மற்றும் சம்பவ கையாளுதல்)

Provenance legend: *(documented)* means the claim is stated in வலைபெயர்ப்பு documentation; *(maintainer)* means it was stated by a பராமரிப்பாளர் during this threat-model process; *(inferred)* means it was reasoned இருந்து the மின்னோட்ட்ம், ஓட்டம் திட்டம் வடிவம் and needs பராமரிப்பாளர் confirmation.

வலைபெயர்ப்பு is a Django-based விரலிடைத் தோல் உள்ளகமாக்கல் platform. It accepts வேலை இருந்து browser users, பநிஇ clients, project-scoped tokens, களஞ்சியம் webhooks, பகஅ repositories, backup archives, பின்னணி workers, and configured external services, then stores and synchronizes மொழிபெயர்ப்பு திட்டங்கள் through a database, datastore, local filesystem repositories, and external code-hosting systems. (documented) (source: வலைபெயர்ப்பு ஆவணங்கள், வலைபெயர்ப்பு ரெச்ட் பநிஇ, தொடர்ச்சியான உள்ளூராக்கல்)

Scope and intended use

This model describes shared trust boundaries and security properties. Features within a component family follow its general guidance unless an explicit exception applies; the representative surfaces below are not an exhaustive feature inventory. (maintainer)

உறுப்பு family	Representative surface	Outside-process effects	மாதிரியுரு நிலை
விரலிடைத் தோல் இடைமுகம் and REST பநிஇ	Browser views, forms, அமர்வு endpoints, வலைபெயர்ப்பு ரெச்ட் பநிஇ	Database, datastore, e-mail, logs, uploaded கோப்புகள்	In scope. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, உள்ளமைவு வழிமுறைகள்)
Authentication, sessions, and authorization	Login, 2FA, SSO, teams, permissions, திட்டம் access, பநிஇ tokens	Database, முற்றொருமை providers, browser குக்கீகள்	In scope. (documented) (source: அங்கீகார, நுழைவு கட்டுப்பாடு)
Project-scoped பநிஇ tokens	Tokens உருவாக்கப்பட்டது in திட்டம் API access	Same application effects அச் the கிள்ளாக்கு permissions allow	In scope அச் authenticated actors with delegated திட்டம் scope. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, நுழைவு கட்டுப்பாடு)
Webhooks	அறிவிப்பு கொக்கிகள், project கொக்கிகள் இயக்கவும், App webhook URL	பின்னணி task scheduling and பகஅ களஞ்சியம் updates	In scope as a public, deployment-hardened interface. (documented) (source: அறிவிப்பு கொக்கிகள், கொக்கிகள் இயக்கவும், App webhook URL)
பகஅ ஒருங்கிணைப்பு	Repository URLs, branches, pushes, pulls, merge requests, local clones, and GitHub App registration, connections, component migration, and removal	Filesystem, child VCS commands, SSH/HTTPS network connections, and provider repository or installation state	In scope when reachable through வலைபெயர்ப்பு உள்ளமைவு or திட்டம் content. (documented) (source: தொடர்ச்சியான உள்ளூராக்கல், Code-hosting integrations)
பின்னணி பணிகள்	Celery queues for repository updates, project deletion, notifications, translation memory, translation, and backups	Database, datastore, filesystem, outbound பிணையம்	In scope as Weblate-controlled execution of user or operator actions. (documented) (source: உள்ளமைவு வழிமுறைகள், வலைபெயர்ப்பு ரெச்ட் பநிஇ)
திட்டம் backup import/export	திட்ட நிலை காப்புப்பிரதிகள், வலைபெயர்ப்பு ரெச்ட் பநிஇ project backup endpoints, import_projectbackup	Uploaded ZIP archives, generated backup archives, filesystem restore, repository state	In scope. (documented) (source: காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும், வலைபெயர்ப்பு ரெச்ட் பநிஇ, மேலாண்மை கட்டளைகள்)
பணி backup	BorgBackup உள்ளமைவு and backup	Local or remote backup storage வீச்சலகு filesystem or பாஓடு	In scope க்கு Weblate's handling of configured backup jobs; Borg itself is out of scope. (documented) (source: காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும், மேலாண்மை கட்டளைகள்)
Machine மொழிபெயர்ப்பு and outbound integrations	Machine translation, avatars, status reporting, telemetry, error reporting, VCS hosts, GitHub App connections, CDN add-on, Fedora Messaging add-on, e-mail delivery (SMTP or AWS SES)	Outbound HTTP(S), AMQP(S), provider APIs, logs	In scope for Weblate's enforcement of configured access and network restrictions. Provider behavior is out of scope. (documented) (source: உள்ளமைவு, Code-hosting integrations, துணை நிரல்கள்)
துணை நிரல்கள்	Built-in add-ons and administrator-configured கூடுதல் execution	Varies by add-on; can mutate project or repository state or contact services	Built-in add-ons அரே in scope when enabled. Third-party add-ons அரே out of scope except க்கு Weblate's permission and நிறுவல் gates. (maintainer)
மேலாண்மை கட்டளைகள்	weblate கட்டளைகள் ஓடு by an operator	Database, filesystem, VCS, backup storage	In scope when processing untrusted வலைபெயர்ப்பு data; the local operator ஓடு is trusted. (maintainer)
Tests, generated docs, screenshots, வளர்ச்சி fixtures	docs/_build/, docs/screenshots/, tests, local fixtures	Development-only கோப்புகள் and generated artifacts	Out of scope க்கு product security claims. (maintainer)

Development environments are not supported production deployments and do not provide security isolation from a malicious checkout or local user. (maintainer)

The intended deployment is a server-side Weblate installation behind a web server or reverse proxy, with a WSGI or ASGI application server, PostgreSQL database, datastore, Celery workers, a writable data directory, and optional outbound VCS, backup, identity-provider, and machine-translation integrations. (documented) (source: உள்ளமைவு வழிமுறைகள்)

The relevant actors அரே split by trust level: unauthenticated clients, authenticated users, reviewers, திட்டம் managers, administrators, project-scoped பநிஇ tokens, webhook senders, external பகஅ providers, configured external services, and local operators. (documented) (source: நுழைவு கட்டுப்பாடு, வலைபெயர்ப்பு ரெச்ட் பநிஇ)

வலைபெயர்ப்பு is not intended பெறுநர் be embedded அச் an in-process security library, used அச் a sandbox க்கு untrusted code, or exposed without the deployment controls documented க்கு production use. (maintainer)

Out of scope

The following அரே explicit non-goals க்கு this model:

• A compromised operating மண்டலம் account, சரக்குப் பெட்டகம் runtime, database server, datastore, தலைகீழ் proxy, or administrator shell. வலைபெயர்ப்பு runs inside those boundaries and does not claim பெறுநர் protect itself இருந்து an already-compromised host. (maintainer)

• A malicious வலைபெயர்ப்பு site administrator or local operator with unrestricted சேவையகம் access. Such an actor can change settings, credentials, data, or code. (maintainer)

• Vulnerabilities in third-party dependencies அச் தனிப்பட்ட projects. பொது Django, சாங்கோ REST framework, பைதான் Social Auth, BorgBackup, VCS, database, and வழங்குநர் vulnerabilities அரே reported upstream unless the சிக்கல் is in Weblate's use of them. (documented) (source: பாதிப்பு மற்றும் சம்பவ கையாளுதல்)

• உருவாக்கு and வெளியீடு hygiene, including செயல் pinning, artifact signing, dependency freshness, and களஞ்சியம் branch protection. These affect திட்டம் operations but அரே not threat-model claims பற்றி வலைபெயர்ப்பு runtime behavior. (maintainer)

• பொது security of external பகஅ providers, முற்றொருமை providers, mail servers, machine-translation services, avatar services, CDN storage, or backup storage. வலைபெயர்ப்பு models only its configured interactions with them. (maintainer)

• பயனர் organizations' translation-supply-chain choices outside Weblate. Outsourced or crowdsourced மொழிபெயர் risks அரே described separately in உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி. (documented) (source: உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி)

• Third-party கூடுதல் code, local customization code, வளர்ச்சி fixtures, generated ஆவணப்படுத்துதல் output, test-only code, and demo or example data. (maintainer)

Trust boundaries and தகவல்கள் பாய்வு

Weblate's primary trust boundary is the network-facing application surface: browser views, பநிஇ endpoints, webhook endpoints, and upload endpoints ஏற்றுக்கொள் தகவல்கள் இருந்து less-trusted actors and மொழிபெயர்த்திடு it into database rows, local களஞ்சியம் state, பின்னணி tasks, outbound requests, and rendered UI. (maintainer)

Boundary	Trust transition
Client browser/API client பெறுநர் வலைபெயர்ப்பு	Untrusted or authenticated requests become permission-checked application actions. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, நுழைவு கட்டுப்பாடு)
Weblate to public CDN storage and clients	Enabling CDN publication deliberately moves selected translations and public build identifiers and resource mappings outside project access controls, including translations from private components. Removing published origin files cannot revoke cached or downloaded copies. Preparation files in the CDN filesystem remain non-public only when the origin excludes the reserved staging directory as required by உள்ளூராக்கல் சி.டி.என். (documented) (source: Kotlin SDK CDN)
Projects to global shared translation memory	Enabling contribution deliberately publishes source strings, translations, and project and component origin outside project access controls, including for Private and Custom projects. Restricted components do not contribute. Disabling contribution prevents the project's automatic entries from remaining visible through the shared scope, but cannot revoke copies already observed or downloaded. (documented) (source: பகிரப்பட்ட மொழிபெயர்ப்பு நினைவகம், நினைவு)
Weblate request process to repository Celery worker	Permission-checked browser and API repository actions become queued work carrying the initiating user and affected repository scope. The worker reacquires the datastore reservation and rechecks the user's current VCS permission on the current repository owner before mutation. The broker, datastore, and workers are trusted parts of the same Weblate instance. (maintainer)
Webhook sender பெறுநர் வலைபெயர்ப்பு	Public forge notifications can schedule repository synchronization where hooks are enabled, matching components by exact repository URL rather than host or path suffix fallback. Generic hook responses expose match counts and, for updated components, project/component slugs and API URLs, including for private projects and restricted components. Components managed through an authenticated integration are excluded from generic matching and diagnostics; currently this applies to the GitHub App VCS backend. Registered GitHub App webhooks authenticate with a per-app URL token and GitHub signature verification. Opt-in legacy GitHub App deliveries to the generic GitHub webhook URL authenticate with a separately configured secret. (documented) (source: அறிவிப்பு கொக்கிகள், கொக்கிகள் இயக்கவும், Matching webhook targets, App webhook URL, GITHUB_LEGACY_APP_WEBHOOK_SECRET)
eTranslation service to Weblate	A public callback carries text suggestions or failures into a short-lived cache entry. Weblate accepts it only with the unpredictable token issued for a pending request; it cannot edit translation units directly. (documented) (source: eTranslation)
வலைபெயர்ப்பு பெறுநர் database/datastore	Permission-checked application state becomes persistent தகவல்கள் and queued work. (documented) (source: உள்ளமைவு வழிமுறைகள்)
வலைபெயர்ப்பு பெறுநர் local பகஅ repositories	திட்டம் உள்ளமைவு and களஞ்சியம் content ஓட்டு filesystem and பகஅ operations. (documented) (source: தொடர்ச்சியான உள்ளூராக்கல்)
வலைபெயர்ப்பு பெறுநர் external சேவைகள்	Configured URLs, credentials, and வழங்குநர் அமைப்புகள் ஓட்டு outbound பிணையம் connections. (documented) (source: Code-hosting integrations, உள்ளமைவு)
Project backup archives and Weblate filesystem	Uploaded ZIP members and metadata become restored project state; generated project backups are written to and read from local backup storage. (documented) (source: காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும், வலைபெயர்ப்பு ரெச்ட் பநிஇ, திட்ட நிலை காப்புப்பிரதிகள்)

Reachability preconditions:

• A விரலிடைத் தோல் இடைமுகம் or பநிஇ finding is in மாதிரியுரு only when reachable by an unauthenticated client, authenticated user, or project-scoped கிள்ளாக்கு through documented routes, forms, or பநிஇ endpoints. (maintainer)

• An authorization finding is in மாதிரியுரு only when it crosses a documented permission, team, project, component, language, glossary, token, or site-wide boundary. (documented) (source: நுழைவு கட்டுப்பாடு)

• A webhook finding is in model only when a request can reach an enabled hook endpoint and affect repository update scheduling, task volume, or information returned to the caller beyond the documented matching diagnostics. (documented) (source: அறிவிப்பு கொக்கிகள், கொக்கிகள் இயக்கவும், Matching webhook targets)

• A பகஅ finding is in மாதிரியுரு only when attacker-controlled or less-trusted களஞ்சியம் data, branch names, URLs, கோப்பு names, commit metadata, or திட்டம் உள்ளமைவு can influence Weblate's பகஅ operations. (maintainer)

• A backup இறக்குமதி finding is in மாதிரியுரு only when reachable இருந்து a திட்டம் backup uploaded through வலைபெயர்ப்பு or supplied பெறுநர் import_projectbackup. (documented) (source: திட்ட நிலை காப்புப்பிரதிகள், import_projectbackup)

• A backup export finding is in model only when reachable from documented project backup creation or download routes, including the REST API for users or project-scoped tokens with project edit permission. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, திட்ட நிலை காப்புப்பிரதிகள், நுழைவு கட்டுப்பாடு)

• A background-task finding is in மாதிரியுரு only when the task can be queued இருந்து an in-scope வலைபெயர்ப்பு surface or scheduled வலைபெயர்ப்பு maintenance path. (documented) (source: உள்ளமைவு வழிமுறைகள்)

• A management-command finding is in மாதிரியுரு only when untrusted வலைபெயர்ப்பு தகவல்கள் is processed by the command; arbitrary local ஓடு access is not an attacker capability. (maintainer)

சூழல் assumptions

வலைபெயர்ப்பு assumes a supported பைதான் and சாங்கோ runtime, a correctly configured database, a datastore, a writable தகவல்கள் directory, and running workers க்கு நற்பொருத்தங்கள் that require பின்னணி processing. (documented) (source: உள்ளமைவு வழிமுறைகள்)

Production deployments அரே expected பெறுநர் configure the external விரலிடைத் தோல் சேவையகம் or தலைகீழ் proxy consistently with Weblate's HTTPS, விருந்தோம்பி header, body-size, and proxy-header settings. (documented) (source: உள்ளமைவு வழிமுறைகள், ENABLE_HTTPS, ALLOWED_HOSTS)

The database, datastore, and internal பணி ports அரே assumed not பெறுநர் be directly exposed பெறுநர் untrusted networks. (maintainer)

Filesystem permissions அரே assumed பெறுநர் prevent unrelated local பயனர்கள் இருந்து modifying Weblate's தகவல்கள் directory, configuration, பகஅ repositories, generated பாஓடு wrappers, backups, and secret material. (documented) (source: காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும், உள்ளமைவு வழிமுறைகள்)

சிவரிக்கீரை workers அரே trusted கூறுகள் of the same வலைபெயர்ப்பு instance. A malicious or compromised worker is equivalent பெறுநர் a compromised application process. (maintainer)

Worker process and queue separation do not create security isolation; workers retain the same trusted application authority. (maintainer)

VCS command execution, SSH, and HTTPS clients are assumed to execute as the Weblate service user with the credentials configured for the relevant project or integration, including database-stored GitHub App credentials used for installation tokens and webhook signature verification. (documented) (source: Code-hosting integrations, SSH_EXTRA_ARGS)

What வலைபெயர்ப்பு does பெறுநர் its host:

• It opens outbound network connections for configured VCS, identity-provider, avatar, machine-translation, backup, status-reporting, telemetry, error-reporting, and add-on features such as outbound webhooks and Fedora Messaging AMQP delivery. (documented) (source: உள்ளமைவு, Code-hosting integrations, காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும்)

• It runs பகஅ and backup-related helper கட்டளைகள் அச் பகுதி of களஞ்சியம் and backup workflows. (documented) (source: தொடர்ச்சியான உள்ளூராக்கல், காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும்)

• It writes பெறுநர் the configured தகவல்கள் directory, களஞ்சியம் storage, media/fonts, backup dumps, logs, and cache locations. (documented) (source: உள்ளமைவு, காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும்)

• It sends e-mail and notifications through configured providers. Operator-controlled service endpoints and credentials are trusted infrastructure, outside user-configurable private-target restrictions. (documented) (source: உள்ளமைவு, டோக்கரைப் பயன்படுத்தி நிறுவுதல்)

• It does not claim பெறுநர் be free of process-wide பக்கம் effects such அச் logging, cache writes, subprocess execution, or outbound பிணையம் access. (maintainer)

Build-time and உள்ளமைவு மாறுபாடுகள்

குமிழ்	இயல்புநிலை or documented posture	விளைவு on the மாதிரியுரு	பராமரிப்பாளர் stance
ENABLE_HOOKS and கொக்கிகள் இயக்கவும்	Anonymous remote hooks அரே configurable and must also be இயக்கப்பட்டது க்கு a project. (documented)	Exposes webhook endpoints அச் a public scheduling interface. Abuse தடையம் depends on deployment controls. (documented) (source: அறிவிப்பு கொக்கிகள், கொக்கிகள் இயக்கவும்)	Production deployments exposing hooks use capacity monitoring, body-size limits, minimal public exposure, and optional edge controls appropriate for their provider traffic. Rate limiting can be unsuitable when many legitimate projects deliver from shared provider infrastructure. (maintainer)
ENABLE_HTTPS, proxy SSL headers, and HSTS அமைப்புகள்	HTTPS affects secure cookies, redirects, HSTS, WebAuthn, and generated URLs. (documented) (source: ENABLE_HTTPS)	Disabling or misconfiguring HTTPS removes transport and cookie protections that வலைபெயர்ப்பு relies on க்கு browser security. (documented) (source: ENABLE_HTTPS)	The documented production posture is HTTPS with சரியான proxy headers. (documented)
ALLOWED_HOSTS	Configures accepted HTTP hostnames. (documented) (source: ALLOWED_HOSTS)	Broad விருந்தோம்பி acceptance can weaken host-header based protections and முகவரி generation assumptions. (maintainer)	Production deployments restrict this பெறுநர் instance hostnames. (maintainer)
WEBLATE_API_RATELIMIT_ANON, WEBLATE_API_RATELIMIT_USER, API_RATELIMIT_USER_OVERRIDES, API_RATELIMIT_IP_OVERRIDES, RATELIMIT_ATTEMPTS, and RATELIMIT_GITHUB_SETUP_ATTEMPTS	Rate limits அரே configurable. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, உள்ளமைவு)	Availability claims assume rate limits appropriate பெறுநர் deployment அளவு and exposure. (maintainer)	Operators can override or exempt users and IP networks, including anonymous clients. IP exemptions rely on trusted proxy configuration; they do not grant authentication or permissions. (documented) (source: பநிஇ வீதத்தைக் கட்டுப்படுத்துதல், IP_BEHIND_REVERSE_PROXY). Disabling rate limits changes DoS triage from Weblate bug to deployment posture unless a single request violates a claimed property. (maintainer)
CSP_SCRIPT_SRC, CSP_IMG_SRC, CSP_CONNECT_SRC, CSP_STYLE_SRC, CSP_FONT_SRC, CSP_FORM_SRC	Content Security Policy sources are configurable. (documented) (source: உள்ளமைவு) The default script policy permits inline execution only on explicitly scoped compatibility paths. (maintainer)	Broadening மூலங்கள் can reduce browser-side containment க்கு XSS or third-party content. (maintainer)	Deployments adding third-party மூலங்கள் ஏற்றுக்கொள் that expanded browser trust. (maintainer)
PROJECT_BACKUP_UPLOAD_MAX_SIZE, PROJECT_BACKUP_IMPORT_MAX_MEMBERS, PROJECT_BACKUP_IMPORT_MAX_TOTAL_UNCOMPRESSED_SIZE, PROJECT_BACKUP_IMPORT_MAX_COMPRESSED_ENTRY_SIZE, PROJECT_BACKUP_IMPORT_MIN_RATIO_SIZE, PROJECT_BACKUP_IMPORT_MAX_COMPRESSED_ENTRY_RATIO	Defaults bound திட்டம் backup upload and இறக்குமதி size, member count, and suspicious compression ratios. (documented) (source: உள்ளமைவு)	Raising or disabling these limits expands restore-time resource exposure. (documented) (source: உள்ளமைவு)	The defaults documented above அரே பகுதி of backup-import resource guarantees. (documented)
Private-target restrictions and allowlists க்கு outbound URLs	User-configurable outbound URL surfaces documented with private-target restriction settings reject internal or non-public targets by default. (documented) (source: ASSET_RESTRICT_PRIVATE, PROJECT_WEB_RESTRICT_PRIVATE, WEBHOOK_RESTRICT_PRIVATE, VCS_RESTRICT_PRIVATE) Protected direct HTTP requests are bound to addresses approved by runtime validation; configured per-protocol HTTP proxies are trusted infrastructure and resolve their destination hosts. Protected Git HTTPS and SSH operations are bound to addresses approved by runtime validation. Protected SSH operations validate the effective HostName and Port. Trusted administrator SSH configuration can alter routing, and SSH_EXTRA_ARGS can override connection binding. Permanent same-host Git HTTP redirects are probed without automatic redirect following. Every direct destination is independently validated and bound before use; configured per-protocol HTTP proxies use the shared trusted outbound routing. Git LFS object transfers are disabled and outside the supported VCS integration surface. VCS clients without connection binding require an explicit trusted-host exemption. (maintainer)	Allowlist settings and privileged configuration can intentionally expand reachability. A non-empty VCS_ALLOW_HOSTS also restricts all configured VCS hosts, while VCS_PRIVATE_ALLOWLIST only exempts matching hosts from private-target checks and does not bypass that host filter. Fedora Messaging broker URLs are site-administrator configuration and are trusted by this model. (documented) (source: ASSET_PRIVATE_ALLOWLIST, PROJECT_WEB_RESTRICT_ALLOWLIST, WEBHOOK_PRIVATE_ALLOWLIST, VCS_ALLOW_HOSTS, VCS_PRIVATE_ALLOWLIST)	இயல்புநிலை private-target rejection is an application-level security property க்கு the documented user-configurable முகவரி surfaces. (maintainer)
SSH_EXTRA_ARGS	Allows தனிப்பயன் பாஓடு options. (documented) (source: SSH_EXTRA_ARGS)	Weakening SSH algorithms or host verification changes VCS transport assumptions. Routing options can override protected repository address pinning. (maintainer)	Operators own the security impact of தனிப்பயன் பாஓடு options. (maintainer)
Third-party add-ons and local customization	Administrators can extend behavior. (documented) (source: துணை நிரல்கள்)	தனிப்பயன் குறியீடு can கூட்டு புதிய trust boundaries and security பண்புகள் outside this model. (maintainer)	Third-party குறியீடு is modeled separately. (maintainer)
Declarative automation expressions	Add-on managers configure ordered Weblate operations and CEL conditions. (documented) (source: Workflow definition)	Expressions receive JSON context rather than application objects. A resource-limited helper process parses and evaluates CEL without custom function bindings; workflows cannot supply Python code. This is a distinct expression-evaluation boundary, not a sandbox for arbitrary Python. On macOS, the helper enforces CPU and wall-time limits but no memory cap, so expressions can exhaust memory within those time limits. (maintainer)	Existing add-on management authority governs mutations. Operation scopes, validation, and automation-origin suppression constrain declarative runs; custom Python add-ons retain their separate trust model. (maintainer)

Input assumptions

Surface	Input	Attacker-controllable?	Caller or operator must enforce
Browser forms and REST பநிஇ	Request bodies, query strings, uploaded files, headers, குக்கீகள்	Yes, within the actor's authentication state. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ)	HTTPS, சரியான host/proxy configuration, rate limits, and permission assignment. (documented) (source: உள்ளமைவு வழிமுறைகள், நுழைவு கட்டுப்பாடு)
Authentication endpoints	Passwords, WebAuthn data, ஒருகைஉள் callbacks, மீட்டமை tokens	Yes. (documented) (source: அங்கீகார)	சரியான identity-provider உள்ளமைவு and HTTPS. (documented) (source: அங்கீகார, ENABLE_HTTPS)
Project-scoped tokens	பநிஇ requests authenticated by கிள்ளாக்கு	Yes, by whoever holds the token. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ)	கிள்ளாக்கு storage, rotation, and least-privilege team membership. (maintainer)
மொழிபெயர்ப்பு content	மூலம் strings, translations, comments, suggestions, சொற்களஞ்சியம் entries	Yes, இருந்து பயனர்கள் with relevant permissions or imported repositories. (documented) (source: வலைபெயர்ப்பைப் பயன்படுத்தி மொழிபெயர்ப்பு, நுழைவு கட்டுப்பாடு)	Review workflows and permission assignment for project-specific content integrity. (documented) (source: மொழிபெயர்ப்பு பணிப்பாய்வு, நுழைவு கட்டுப்பாடு)
Aggregate translation downloads	Translation files, templates, paths, and file metadata from individually authorized translations	Yes, from users with translation.download permission for the component and language. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, நுழைவு கட்டுப்பாடு)	Filter every archive member by effective translation download permission, including restricted-component and language limits. (maintainer)
Webhook endpoints	Headers, event type, body, களஞ்சியம் and branch metadata	Yes, where endpoint is reachable. (documented) (source: அறிவிப்பு கொக்கிகள்)	Hook enablement only where needed, request limits, and monitoring. (maintainer)
GitHub App lifecycle	Registration and installation callbacks, GitHub OAuth code, signed Weblate state, installation ID, account metadata, component migration selections, and connection-removal requests	Yes, from authenticated Weblate users and GitHub redirect query strings. (documented) (source: Registering the GitHub App from Weblate, Migrating existing components)	Registering App credentials requires the site-wide management.configure permission. Connecting or removing an installation requires management rights for its workspace, and Weblate verifies GitHub administration of an installation before connecting it. Component migration additionally requires edit permission for every selected component. Removing the last workspace connection also attempts to uninstall the App from GitHub. (documented) (source: Registering the GitHub App from Weblate, Migrating existing components)
களஞ்சியம் உள்ளமைவு	Repository URLs, branches, push URLs, credentials, Gerrit review push options, add-on settings, and Version control parameters controlling force pushes and pull-request behavior	Trusted to users with corresponding management permissions. (documented) (source: நுழைவு கட்டுப்பாடு, தொடர்ச்சியான உள்ளூராக்கல்) The automatic translation add-on can create approved strings when the target language's effective review settings allow it. Configuring this behavior uses add-on management permissions rather than the configuring user's review permission. (documented) (source: துணை நிரல்கள்)	Assign பகஅ and திட்டம் management permissions only பெறுநர் trusted users. (documented) (source: நுழைவு கட்டுப்பாடு)
External களஞ்சியம் content	மொழிபெயர்ப்பு files, paths, branch names, commit metadata	Yes, if the upstream களஞ்சியம் is controlled by another actor. (maintainer)	Trust the configured upstream களஞ்சியம் or சீராய்வு imported changes. (maintainer)
திட்டம் backup இறக்குமதி	ZIP archive members, metadata, மொழிபெயர்ப்பு files, களஞ்சியம் state	Yes, க்கு whoever can upload or provide the backup. (documented) (source: திட்ட நிலை காப்புப்பிரதிகள்)	Keep இறக்குமதி limits at values appropriate க்கு the instance. (documented) (source: உள்ளமைவு)
Project backup export	Backup creation requests and requested backup file names	Yes, for users or project-scoped tokens with project edit permission. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, திட்ட நிலை காப்புப்பிரதிகள், நுழைவு கட்டுப்பாடு)	Grant project edit permission only to trusted project administrators. (documented) (source: நுழைவு கட்டுப்பாடு)
Machine மொழிபெயர்ப்பு and external பணி உள்ளமைவு	வழங்குநர் URLs, credentials, மாதிரியுரு or பணி அமைப்புகள்	Trusted பெறுநர் administrators or பயனர்கள் granted உள்ளமைவு permissions. (documented) (source: Translation services, நுழைவு கட்டுப்பாடு)	Treat configured providers அச் recipients of the தகவல்கள் sent பெறுநர் them; the submitted content varies by வழங்குநர் and இயக்கப்பட்டது feature. (maintainer)
மேலாண்மை கட்டளைகள்	Command-line arguments and கோப்புகள் supplied by the local operator	Trusted local input unless processing வலைபெயர்ப்பு தகவல்கள் or திட்டம் backups. (maintainer)	Restrict ஓடு access பெறுநர் trusted operators. (maintainer)
Deployment configuration	Environment variables, container arguments, mounted configuration, image selection, and workload or orchestration manifests	Trusted local-operator input. Systems that delegate selected deployment values to less-trusted users introduce an external trust boundary; Weblate does not treat those values as untrusted application input. (maintainer)	Restrict deployment access to trusted operators and validate delegated values before they reach Weblate. (maintainer)

அளவு and rate assumptions:

• வலைபெயர்ப்பு relies on application and reverse-proxy upload limits க்கு large HTTP requests. (documented) (source: PROJECT_BACKUP_UPLOAD_MAX_SIZE)

• திட்டம் backup இறக்குமதிகள் அரே bounded by member count, aggregate uncompressed size, compressed நுழைவு size, சிறுமம் ratio size, and compression ratio settings. (documented) (source: உள்ளமைவு)

• SAML identity-provider authentication requests are bounded in encoded and expanded size before XML parsing. (maintainer)

• Project backup metadata, object references, repository paths, outbound URLs, regular expressions, and screenshot content are validated before restore writes project state. Failed restores remove repository and media objects created by that attempt. (documented) (source: திட்ட நிலை காப்புப்பிரதிகள்)

• பநிஇ and தேர்ந்தெடுக்கப்பட்டது விரலிடைத் தோல் செயல்கள் அரே expected பெறுநர் be protected by configured rate limits. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, உள்ளமைவு)

• களஞ்சியம் size, எண் of projects, எண் of components, and worker capacity அரே deployment-sizing concerns unless a ஒற்றை in-scope input bypasses documented limits or permissions. (maintainer)

Adversary மாதிரியுரு

Actor	In-scope capabilities	Out-of-scope capabilities
Unauthenticated internet client	Send HTTP(S) requests பெறுநர் public pages, registration, login, API, and reachable webhook endpoints. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ)	Read சேவையகம் memory, bypass தலைகீழ் proxy controls, or access internal சேவைகள் directly. (maintainer)
Authenticated பயனர்	Perform செயல்கள் allowed by assigned teams, permissions, and workflow. (documented) (source: நுழைவு கட்டுப்பாடு)	சட்டகை outside assigned permissions without exploiting a வலைபெயர்ப்பு flaw. (documented) (source: நுழைவு கட்டுப்பாடு)
Reviewer or திட்டம் manager	Exercise delegated project, component, language, review, VCS, மொழிபெயர்ப்பு memory, screenshot, or access-management permissions. (documented) (source: நுழைவு கட்டுப்பாடு)	Become a site administrator unless granted that role or exploiting a வலைபெயர்ப்பு flaw. (maintainer)
Project-scoped பநிஇ கிள்ளாக்கு holder	Use API permissions assigned to the token's team memberships, including project backup creation and download where project edit permission is granted. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, நுழைவு கட்டுப்பாடு, திட்ட நிலை காப்புப்பிரதிகள்)	Access projects, components, or site-wide செயல்பாடுகள் outside its scope. (documented) (source: நுழைவு கட்டுப்பாடு)
Webhook sender	Send forged, replayed, malformed, or high-volume webhook requests to enabled hook endpoints and observe documented matching diagnostics. (documented) (source: அறிவிப்பு கொக்கிகள், Matching webhook targets)	Obtain forge-authenticated முற்றொருமை where வலைபெயர்ப்பு does not verify it. (maintainer)
External பகஅ or பணி வழங்குநர்	Return களஞ்சியம் data, பநிஇ responses, redirects, or errors according பெறுநர் the configured integration. (documented) (source: Code-hosting integrations)	Compromise the வலைபெயர்ப்பு விருந்தோம்பி except through தகவல்கள் or protocol behavior வலைபெயர்ப்பு processes. (maintainer)
மொழிபெயர் or உள்ளகமாக்கல் contributor	Submit மொழிபெயர்ப்பு content that downstream applications might consume. (documented) (source: உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி)	Control downstream application escaping, rendering, or சீராய்வு கொள்கை outside Weblate. (documented) (source: உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி)
Local operator	ஓடு management commands, change configuration, and access backups. (documented) (source: மேலாண்மை கட்டளைகள், காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும்)	Local malicious operators அரே trusted க்கு this model. (maintainer)

The modeled attacker tries பெறுநர் bypass authorization, modify மொழிபெயர்ப்பு or களஞ்சியம் தகவல்கள் without permission, disclose தனிப்பட்ட திட்டம் or பயனர் data, forge or abuse களஞ்சியம் synchronization, trigger unsafe outbound requests, execute கட்டளைகள் through Weblate-controlled workflows, or வெளியேற்று bounded application resources. (maintainer)

Security பண்புகள் வலைபெயர்ப்பு provides

Property	Conditions	Violation symptom	Severity tier
Web authorization separates site, project, component, language, glossary, VCS, translation memory, screenshot, review, and access management permissions. (documented) (source: நுழைவு கட்டுப்பாடு, அங்கீகார, மொழிபெயர்ப்பு நினைவகம்)	Permission assignments match the intended trust relationship. Team-level enforced 2FA is satisfied by human users before team-derived permissions apply. Pending authenticator app registrations do not satisfy 2FA requirements. Registration requires a valid, single-use TOTP code and cannot be completed more than once, including under concurrent submissions. (documented) (source: இரண்டு காரணி ஏற்பு) Component administrators are trusted to configure operations that can affect repository contents, for example by selecting files through component settings, configuring add-ons, or enabling force pushes and pull-request behavior through Version control parameters. Add-ons are persistent administrative configuration: project and category add-ons operate on compatible restricted descendants, while component add-ons can consume cross-component inputs documented by the add-on. Their service identities and configured authority do not depend on the configuring user's later account or permission state. Project backups similarly contain every component in the project, including restricted components. Consequently, component restrictions protect ordinary direct access but are not an isolation boundary against these documented administrative capabilities. Users with management rights for a workspace are trusted to connect and remove its GitHub App installations; removing the final workspace connection can uninstall the App from GitHub. GitHub App component migration separately requires edit permission for every selected component. Linking a repository extends this trust to administrators of every linked component for the complete shared checkout. Permissions for explicit VCS actions are checked on the repository-owning component. Linking accepts this owner's authority over the complete shared checkout; permissions on downstream linked components neither grant nor veto explicit VCS authority. Project-wide VCS actions omit repositories where this permission check fails; they do not partially operate on an individual shared checkout. Explicit VCS actions queued from the browser or API retain the initiating user, serialize access to the affected repositories, and recheck that user's permission on the current repository owner in the worker before mutation. Weblate's normal background commit and push of authorized translation changes does not require the editor to have these VCS permissions. The reports.view permission authorizes all report data in the selected scope, including private projects and restricted components below it. Complete workspace-level report access requires two-factor authentication for regular users if any project in the workspace enforces it. Superusers and bot accounts are exempt. Translation memory attributed to an existing restricted component follows that component's access rules. Unattributed automatic memory, including unmatched legacy entries and memory retained after component removal, follows its remaining translation-memory scope. Private and Custom project engage pages and rendered status widgets follow project access control unless a trusted access manager enables Public sharing. That explicit opt-in publishes project and component names, including restricted components, together with translation statistics, languages, and progress, but does not grant access to project content or APIs.	பயனர் or கிள்ளாக்கு can read or mutate தகவல்கள் outside assigned scope.	Security-critical when தனிப்பட்ட தகவல்கள் or privileged mutation is exposed.
Project-scoped பநிஇ tokens அரே limited by assigned project/team permissions. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, நுழைவு கட்டுப்பாடு)	கிள்ளாக்கு is உருவாக்கப்பட்டது and stored by a trusted actor.	கிள்ளாக்கு can சட்டகை outside திட்டம் or team scope.	Security-critical.
Authentication and session controls protect browser sessions when HTTPS and proxy settings are correct. Pending second-factor sessions are bound to the current password authentication state, and repeated rejected second-factor submissions lock password sign-in according to AUTH_LOCK_ATTEMPTS. (documented) (source: அங்கீகார, ENABLE_HTTPS)	Production HTTPS and secure-cookie அமைப்புகள் அரே enabled.	Session fixation, credential bypass, cross-user session confusion, or a pending password sign-in remaining usable after a password change or account lock.	Security-critical.
User-supplied content rendered by வலைபெயர்ப்பு is expected not பெறுநர் execute script in மற்றொன்று users' browsers. (maintainer)	Content is displayed through வலைபெயர்ப்பு இடைமுகம் வார்ப்புருக்கள் and தரநிலை escaping.	Stored or reflected XSS in the வலைபெயர்ப்பு origin.	Security-critical.
Repository, branch, path, and பகஅ inputs processed by வலைபெயர்ப்பு must not become ஓடு கட்டளை execution. (maintainer)	VCS operations are invoked through Weblate-supported repository workflows and configured credentials. Project backup restores allow only non-executable Git, git-svn, and Mercurial repository state, and rebuild repository-local configuration from validated component settings. Weblate does not populate Git submodules (see Git submodules).	கட்டளை உட்செலுத்தல் or arbitrary குறியீடு execution அச் the வலைபெயர்ப்பு user.	Security-critical.
Private project data other than documented generic webhook matching diagnostics, metadata published through Public sharing, translations explicitly published through பகிரப்பட்ட மொழிபெயர்ப்பு நினைவகம், and translations, build identifiers, and resource mappings explicitly published through CDN add-ons, user data, credentials, tokens, SSH keys, and 2FA secrets are not disclosed to actors lacking permission. (documented) (source: நுழைவு கட்டுப்பாடு, தனியுரிமை விதிமுறைகள் இணக்கம், பதிப்பு கட்டுப்பாட்டு ஒருங்கிணைப்பு)	Host, database, and storage permissions are intact. User-configurable repository and push URLs cannot address the server filesystem. Generic webhook responses expose only the match counts, project/component slugs, and API URLs documented in Matching webhook targets. Public sharing permits unauthenticated access to engage pages and rendered status widgets, exposing project and component names, including restricted components, translation statistics, languages, and progress. It does not grant access to project content or APIs. Repository content deliberately shared through linked components follows the linked repository trust boundary. Project repository permission diagnostics identify accessible repository owners where an operation requires permission, but do not expose inaccessible component identities or blocked repository content or status. Custom add-ons list only non-sensitive fields as public configuration; unlisted values are redacted from public change history. Installing the Kotlin SDK CDN add-on explicitly publishes translations, application package names and version codes, and the names and submitted IDs of published resources from that component to unauthenticated CDN clients, including for private projects. CDN storage and cached client copies are outside project access controls; removing origin files cannot revoke previously downloaded copies. Enabling shared translation memory contribution explicitly publishes source strings, translations, and project and component origin outside project access controls, including for Private and Custom projects.	Cross-project data leak not covered by the documented generic webhook diagnostics, public-sharing metadata, explicit shared-memory or CDN publication, or linked-repository trust boundary, credential exposure, or unauthorized export.	Security-critical.
Backup இறக்குமதி rejects archives exceeding documented upload, member, aggregate size, and suspicious compression thresholds. (documented) (source: உள்ளமைவு, திட்ட நிலை காப்புப்பிரதிகள்)	Defaults or stricter limits remain configured.	Oversized or highly amplified archive is accepted past configured thresholds.	Security-critical க்கு single-request DoS; otherwise availability bug.
Documented user-configurable outbound முகவரி surfaces reject internal or non-public இலக்குகள் by default. (documented) (source: ASSET_RESTRICT_PRIVATE, PROJECT_WEB_RESTRICT_PRIVATE, WEBHOOK_RESTRICT_PRIVATE, VCS_RESTRICT_PRIVATE)	Default private-target checks are enabled and no trusted allowlist exemption applies. Direct protected HTTP requests and Git HTTPS and SSH operations retain address binding, VCS restrictions remain enabled, and VCS backends without binding use only explicitly trusted hosts. Configured per-protocol HTTP proxies remain trusted routing infrastructure.	A user-configurable screenshot URL, remote HTML URL, project website or repository browser URL, outbound webhook URL, or VCS URL reaches an internal or non-public target despite default controls.	Security-critical when it exposes internal சேவைகள் or metadata.
Weblate records security-relevant account, permission, billing lifecycle, authenticated web-action rate-limit lockouts, and project or component setting changes in audit logs or history. Account-removal audit entries retain the former e-mail address until AUDITLOG_EXPIRY. (documented) (source: தனியுரிமை விதிமுறைகள் இணக்கம், வீதத்தைக் கட்டுப்படுத்துதல், பட்டியலிடல், Weblate 2026.11)	Logging is configured, storage is available, and AUDITLOG_EXPIRY reflects the operator's intended retention.	Missing audit trail for an action Weblate claims to log, or personal data retained beyond the configured audit-log expiry.	Security-critical when it blocks investigation of privileged changes or discloses retained personal data; privacy-impacting when data exceeds the configured retention; correctness-only for minor event gaps.
Self-service trial creation grants only the designated commercial trial plan or the Libre setup plan. (maintainer)	The deployment offers self-service hosting trials.	An authenticated user can select another public, private, or internal billing plan when creating a trial.	Security-critical when this bypasses paid service limits.
Rate-limited பநிஇ and விரலிடைத் தோல் செயல்கள் enforce configured rate limits. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, உள்ளமைவு)	Rate limiting is இயக்கப்பட்டது and backed by a working datastore.	Requests exceeding configured thresholds தொடரவும் பெறுநர் be processed.	Availability/security hardening depending on endpoint sensitivity.
Built-in translation quality checks must not permit user-controlled content within configured size limits to monopolize synchronous request workers through disproportionate resource consumption. (maintainer)	The check is enabled and runs during a supported browser or API translation write.	A single accepted translation causes CPU or memory consumption disproportionate to its size and stalls a request worker.	Security-critical க்கு single-request DoS; otherwise availability bug.
Generic webhooks schedule repository updates only for eligible components whose repository URL exactly matches a repository URL from the payload, including documented URL variants. Components managed through an authenticated integration are excluded from generic matching and diagnostics. Generic responses disclose only the documented matching diagnostics for eligible components. (documented) (source: Matching webhook targets)	Hooks are enabled and the delivery reaches an in-scope hook endpoint.	A delivery updates a component whose repository URL does not exactly match the payload, including through host or path suffix fallback, or a generic delivery updates or discloses a component managed through an authenticated integration, or a response discloses component information beyond the documented fields.	Security-critical when it causes unauthorized repository synchronization across unrelated components; otherwise correctness or hardening.
Weblate does not intentionally expose database, datastore, backup storage, or raw internal storage directly through the public web interface; exported VCS repositories are intentionally exposed by அறிவிலி ஏற்றுமதியாளர் when that optional module is enabled; authorized project backup downloads are intentionally exposed through documented project backup routes. (documented) (source: வலைபெயர்ப்பு ரெச்ட் பநிஇ, திட்ட நிலை காப்புப்பிரதிகள்) (maintainer)	Deployment does not serve internal storage paths அச் static கோப்புகள் except க்கு documented ஏற்றுமதி features.	Public request retrieves raw internal storage, configuration, or non-exported களஞ்சியம் data.	Security-critical.

Resource thresholds in this மாதிரியுரு அரே the documented உள்ளமைவு defaults where they exist, especially backup இறக்குமதி limits and rate limits. க்கு களஞ்சியம் size, திட்டம் count, உறுப்பு count, and மொழிபெயர்ப்பு volume, வலைபெயர்ப்பு does not claim a fixed universal resource ceiling தனிப்பட்ட of deployment capacity. (maintainer)

Component discovery bounds repository traversal and file-mask matching work even when repository content controls the masks; see component discovery limits. (maintainer)

Security பண்புகள் வலைபெயர்ப்பு does not provide

வலைபெயர்ப்பு does not authenticate every webhook வழங்கு cryptographically க்கு அனைத்தும் supported forge integrations. Hook endpoints அரே compatibility-oriented and deployment-hardened rather than uniformly forge-authenticated. Reports that காட்டு only unauthenticated triggering within modeled effects அரே VALID-HARDENING rather than BY-DESIGN. (maintainer)

Weblate does not make an unauthenticated webhook equivalent to a trusted forge identity. Hook processing can trigger update workflows, and generic responses can confirm repository registration and reveal match counts, project/component slugs, and API URLs, including for private projects and restricted components. Components managed through an authenticated integration are excluded from this generic behavior. Generic deliveries are not application-rate-limited or coalesced: repository operations are serialized for consistency, but each matching delivery can record a hook event and schedule an update attempt. An unchanged repository still requires a remote fetch before the update stops without merging or parsing translation files. Attribution and authenticity are weaker than for an authenticated user or token. (maintainer)

User-requested background work is authorized when Weblate accepts and queues the request. Background tasks do not always verify the initiating user's permissions again when they execute. Later changes to the user's account, permissions, or team memberships therefore do not reliably prevent already-authorized work from completing. (maintainer)

வலைபெயர்ப்பு என்பது தீங்கிழைக்கும் நிர்வாகிகள், தீங்கிழைக்கும் உள்ளக ஆபரேட்டர்கள், மூன்றாம் தரப்பு துணை நிரல்கள், தனிப்பயன் வரிசைப்படுத்தல் குறியீடு, பகஅ கிளையண்டுகள் அல்லது காப்புப் பிரதி கருவிகளுக்கான சாண்ட்பாக்ச் அல்ல. (பராமரிப்பாளர்)

அந்த தயாரிப்பின் சொந்த எச்கேப்பிங், சரிபார்ப்பு அல்லது மதிப்பாய்வு இல்லாமல் ஒரு கீழ்நிலை தயாரிப்பில் நகலெடுக்கப்படும் போது மொழிபெயர்ப்பு உள்ளடக்கம் பாதுகாப்பானது என்று வலைபெயர்ப்பு பொறுப்பு அளிக்காது. மொழிபெயர்ப்புச் சோதனைகள் மற்றும் மதிப்பாய்வு பணிப்பாய்வுகள் உள்ளூர்மயமாக்கல் தகுதி மற்றும் அபாயத்தை நிர்வகிக்க உதவுகின்றன; அவை முழுமையான கீழ்நிலை பயன்பாட்டு பாதுகாப்பு எல்லை அல்ல. (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி, சோதனைகள் மற்றும் சரிசெய்தல்)

தவறான நண்பர்கள்:

• வலைபெயர்ப்பு அனுமதிகள் பயன்பாட்டு ஏற்பு, புரவலன் சாண்ட்பாக்ச் அல்ல. பகஅ அல்லது திட்ட மேலாண்மை அனுமதிகள் வழங்கப்பட்ட ஒரு பயனர், அந்த பங்கின் சக்திக்குள் வேண்டுமென்றே ஒருங்கிணைப்புகளை உள்ளமைக்க முடியும். (பராமரிப்பாளர்)

• Webhook திட்டப் பொருத்தம் மற்றும் நிகழ்வைப் பாகுபடுத்துதல் ஆகியவை, ஒருங்கிணைப்பு டெலிவரியை அங்கீகரிக்காதபோது, அனுப்புநரே முறையான ஃபோர்ச் என்பதற்கு சான்று அல்ல. (பராமரிப்பாளர்)

• மொழிபெயர்ப்புச் சோதனைகள் பொதுவான தகுதி மற்றும் வடிவமைப்புச் சிக்கல்களைக் கண்டறிகின்றன; ஒவ்வொரு கீழ்நிலை ரெண்டரருக்கும் மொழிபெயர்க்கப்பட்ட சரங்கள் பாதுகாப்பானவை என்பதற்கு அவை பொறுப்பு இல்லை. (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: சோதனைகள் மற்றும் சரிசெய்தல், உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி)

• BorgBackup குறியாக்கம் Borg இன் வடிவமைப்பின்படி காப்புப் பிரதி காப்பகங்களைப் பாதுகாக்கிறது; போர்க் இன்டர்னல்களுக்கு வலைபெயர்ப்பு தனி கிரிப்டோகிராஃபிக் உத்தரவாதத்தை சேர்க்கவில்லை. (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும்)

• விகித வரம்புகள் கட்டமைக்கப்பட்ட இறுதிப்புள்ளிகளின் துச்பிரயோகத்தைக் குறைக்கின்றன; அவை வால்யூமெட்ரிக் பிணையம் தாக்குதல்களின் கீழ் கிடைக்கும் பொறுப்பு அல்ல. (பராமரிப்பாளர்)

நன்கு அறியப்பட்ட தாக்குதல் வகுப்புகள் பகுதி அல்லது முழுமையாக வரிசைப்படுத்தல் அல்லது கீழ்நிலை அமைப்புகளுக்கு விடப்பட்டுள்ளன:

• ஃபிசிங் மற்றும் நற்சான்றிதழ் மறுபயன்பாடு அங்கீகாரக் கொள்கை மற்றும் 2FA மூலம் குறைக்கப்படுகிறது, ஆனால் பயனர்கள் சேவைக்கு வெளியே நற்சான்றிதழ்களை வெளியிடுவதை வலைபெயர்ப்பு தடுக்க முடியாது. (பராமரிப்பாளர்)

• தீங்கிழைக்கும் மொழிபெயர்ப்புகள் XSS ஆகலாம், ஃபார்மேட்-ச்ட்ரிங், கட்டளை அல்லது கொள்கைச் சிக்கல்கள் கீழ்நிலைப் பயன்பாடுகளில் பாதுகாப்பற்றதாக இருக்கும். (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி)

• ஆவணப்படுத்தப்பட்ட தனிப்பட்ட-இலக்குக் கட்டுப்பாடுகளுடன் பயனர்-கட்டமைக்கக்கூடிய வெளிச்செல்லும் முகவரி மேற்பரப்புகள் இயல்பாக உள் அல்லது பொது அல்லாத இலக்குகளை நிராகரிக்கின்றன; சலுகை பெற்ற அனுமதிப்பட்டியல்கள், ப்ராக்சிகள் மற்றும் நிர்வாகி-கட்டுப்படுத்தப்பட்ட உள்ளமைவு ஆகியவை வேண்டுமென்றே அணுகலை விரிவாக்கலாம். (பராமரிப்பாளர்)

• பெரிய களஞ்சிய வரலாறுகள், திட்ட அளவு மற்றும் பின்னணி பணி அளவு ஆகியவற்றிற்கு வெப்லேட்டின் ஒற்றை உள்ளீடு சரிபார்ப்புக்கு அப்பால் வரிசைப்படுத்தல் அளவு மற்றும் செயல்பாட்டு வரம்புகள் தேவை. (பராமரிப்பாளர்)

கீழ்நிலை பொறுப்புகள்

ஆபரேட்டர்கள் சரியான பதிலாள் தலைப்புகள், புரவலன் பெயர்கள், கோரிக்கை அளவு வரம்புகள் மற்றும் பாதுகாப்பான-குக்கீ நடத்தை ஆகியவற்றுடன் உற்பத்தி-தர HTTPSக்குப் பின்னால் வெப்லேட்டைப் பயன்படுத்த வேண்டும். (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: உள்ளமைவு வழிமுறைகள், ENABLE_HTTPS, ALLOWED_HOSTS)

Operators enabling forwarded client-IP handling must trust only reverse proxies under their control and prevent untrusted clients from bypassing those proxies to reach Weblate directly. (documented) (source: WEBLATE_TRUSTED_PROXY_ADDRESSES, தலைகீழ் ப்ராக்சிக்கு பின்னால் இயங்குகிறது)

ஆபரேட்டர்கள் குழுக்கள், பாத்திரங்கள், திட்ட நோக்குடைய டோக்கன்கள், பகஅ நற்சான்றிதழ்கள் மற்றும் திட்ட மேலாண்மை அனுமதிகளை தங்கள் நிறுவனத்திற்கான குறைந்தபட்ச சலுகையின்படி ஒதுக்க வேண்டும். (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: நுழைவு கட்டுப்பாடு, வலைபெயர்ப்பு ரெச்ட் பநிஇ)

Operators exposing அறிவிப்பு கொக்கிகள் must enable them only where needed and provide capacity monitoring, body-size limits, and optional source restrictions or edge controls appropriate for their provider traffic. They must accept the documented identifier disclosure and per-delivery scheduling cost or use authenticated integrations where available. (maintainer)

வெப்லேட்டின் இயல்புநிலை பிணையம் அணுகல் வரம்புகளின் வேண்டுமென்றே விரிவாக்கம் என ஆபரேட்டர்கள் தனியார்-இலக்கு அனுமதிப்பட்டியல்கள், ப்ராக்சிகள் மற்றும் சலுகை பெற்ற வெளிச்செல்லும் ஒருங்கிணைப்பு அமைப்புகளைக் கருத வேண்டும். (பராமரிப்பாளர்)

ஆபரேட்டர்கள் காப்புப் பிரதி இறக்குமதி வரம்புகள், பநிஇ விகித வரம்புகள் மற்றும் இணைய விகித வரம்புகளை நிகழ்வு திறன் மற்றும் வெளிப்பாடு ஆகியவற்றுடன் பொருந்தக்கூடிய மதிப்புகளில் வைத்திருக்க வேண்டும். (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: உள்ளமைவு)

ஆபரேட்டர்கள் Weblate தரவு கோப்பகம், கட்டமைப்பு, காப்பு நற்சான்றிதழ்கள், உருவாக்கப்பட்ட விசைகள், தரவுத்தளம், டேட்டாச்டோர் மற்றும் உள்ளக செல் அணுகல் ஆகியவற்றை நம்பகமான உள்கட்டமைப்பாகப் பாதுகாக்க வேண்டும். (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும், உள்ளமைவு வழிமுறைகள்)

டவுன்ச்ட்ரீம் தயாரிப்புக் குழுக்கள், தனித்தனியாக மதிப்பாய்வு செய்து, தப்பித்து, இலக்கு ரெண்டரருக்கு அவற்றைச் சரிபார்க்கும் வரை, மொழிபெயர்க்கப்பட்ட சரங்களை தங்கள் சொந்த பயன்பாடுகளில் நம்பத்தகாத உள்ளடக்கமாகக் கருத வேண்டும். (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி)

அறியப்பட்ட தவறான பயன்பாட்டு முறைகள்

• Exposing webhook endpoints broadly, enabling project hooks, and relying on webhook payloads as authenticated forge identity. This is unsafe because some supported hooks are compatibility-oriented and return matching diagnostics. Use deployment controls and prefer authenticated integrations where available. (maintainer)

• Granting workspace, project, VCS, or access-management permissions to users who are trusted only as translators. This is unsafe because those permissions can affect code-hosting connections, repositories, credentials, or other users. Assign narrower roles. (documented) (source: நுழைவு கட்டுப்பாடு, Code-hosting integrations)

• Assigning site-wide permissions to roles intended for limited project or helpdesk delegation. Site-wide permissions apply across the instance and are not narrowed by the team's project selection. In particular, group.edit permits changing site-wide team scope and granting team members access to private projects the manager cannot access directly, while user.edit permits changing team memberships and superuser status for editable accounts, including the caller's own account. Delegate permissions through project or workspace teams for limited scopes. (documented) (source: நுழைவு கட்டுப்பாடு)

• வழங்குநரை தரவு பெறுநராகக் கருதாமல் இயந்திர மொழிபெயர்ப்பு வழங்குநர்களுக்கு முக்கியமான மூலச் சரங்கள் அல்லது தனிப்பட்ட வாடிக்கையாளர் உள்ளடக்கத்தை அனுப்புதல். இது பாதுகாப்பற்றது, ஏனெனில் வலைபெயர்ப்பு உள்ளடக்கத்தை உள்ளமைக்கப்பட்ட சேவைக்கு அனுப்ப வேண்டும், மேலும் சமர்ப்பிக்கப்பட்ட உள்ளடக்கம் வழங்குநர் மற்றும் செயல்படுத்தப்பட்ட அம்சத்தைப் பொறுத்து மாறுபடும். திட்டத்திற்கான தரவுக் கொள்கையின்படி வழங்குநர்களை உள்ளமைக்கவும். (பராமரிப்பாளர்)

• நிர்வாக வசதிக்காக நம்பத்தகாத மூலங்களிலிருந்து திட்ட காப்புப்பிரதிகளை இறக்குமதி செய்தல். காப்புப்பிரதிகள் திட்ட மேனிலை தரவு, மொழிபெயர்ப்பு உள்ளடக்கம் மற்றும் களஞ்சிய நிலை ஆகியவற்றைக் கொண்டிருப்பதால் இது பாதுகாப்பற்றது. இறக்குமதி வரம்புகளை இயக்கி, இலக்கு நிகழ்வுக்கு பொருத்தமான காப்புப்பிரதிகளை மட்டும் இறக்குமதி செய்யவும். (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: காப்புப்பிரதி மற்றும் வலைபெயர்ப்பு நகரும்)

• கீழ்நிலை பயன்பாடுகளை மொழிபெயர்க்கப்பட்ட சரங்கள் மூலம் தாக்க முடியாது என்பதற்கான ஆதாரமாக வலைபெயர்ப்பு மொழிபெயர்ப்புச் சரிபார்ப்புகளைக் கையாளுதல். இது பாதுகாப்பற்றது, ஏனெனில் கீழ்நிலை ரெண்டரர் இறுதி செயலாக்க சூழலை வரையறுக்கிறது. நுகர்வு பயன்பாட்டில் உள்ள மொழிபெயர்ப்புகளை மதிப்பாய்வு செய்து தப்பிக்கவும். (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி)

அறியப்படாத கண்டுபிடிப்புகள்

• A report that a reachable webhook can be called without forge authentication and only triggers modeled update scheduling or returns the documented matching diagnostics is not VALID by itself. A finite sequence of accepted requests or the absence of an application-level 429 response does not demonstrate an availability failure. It is routed to VALID-HARDENING unless it bypasses documented limits, matches unrelated repositories, leaks data beyond the documented fields, causes disproportionate resource consumption or sustained service degradation, or has effects beyond modeled per-delivery scheduling. (maintainer)

• A report that a webhook does not update a component whose repository URL only shares a host or path suffix with the payload is not a vulnerability; Weblate matches only exact repository URLs and documented variants. (documented) (source: Matching webhook targets)

• ஒரு திட்ட மேலாளர் களஞ்சிய அமைப்புகள், பகஅ நற்சான்றிதழ்கள் அல்லது திட்ட உள்ளமைவை மாற்ற முடியும் என்ற அறிக்கை, நடிகருக்கு அந்தச் செயலுக்கான ஆவணப்படுத்தப்பட்ட இசைவு இருக்கும்போது பாதிப்பு ஏற்படாது. (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: நுழைவு கட்டுப்பாடு)

• A report that source strings, translations, or project and component origin from a Private or Custom project are available through shared translation memory is not a vulnerability when an authorized manager explicitly enabled contribution. Shared contribution publishes this data outside project access controls. Restricted components remain excluded. (documented) (source: பகிரப்பட்ட மொழிபெயர்ப்பு நினைவகம், நினைவு)

• A report containing private-project or restricted-component data is not a vulnerability when the user has effective reports.view permission on the selected parent scope. That permission intentionally authorizes the complete report scope. (documented) (source: மொழிபெயர்ப்பு முன்னேற்ற அறிக்கை, நுழைவு கட்டுப்பாடு)

• A report that a project administrator can obtain restricted descendants from a complete project backup, or that an add-on manager can configure a core add-on to process its documented restricted descendants or cross-component inputs, is not a vulnerability. These are persistent administrative capabilities and do not inherit the configuring user's direct component visibility. (documented) (source: துணை நிரல்கள், திட்ட நிலை காப்புப்பிரதிகள், நுழைவு கட்டுப்பாடு)

• மூன்றாம் தரப்பு ஆட்-ஆன் நடத்தைக்கு எதிரான அறிக்கையானது, வலைபெயர்ப்பு இன் இசைவு அல்லது நிறுவல் எல்லைகள் புறக்கணிக்கப்பட்டதாக அறிக்கை காட்டினால் ஒழிய, வலைபெயர்ப்பு முக்கிய பாதிப்பு அல்ல. (பராமரிப்பாளர்)

• உள்ளக ஆபரேட்டர்கள் நம்பகமான உள்கட்டமைப்பு என்பதால், தீங்கிழைக்கும் உள்ளக ஆபரேட்டர் உள்ளமைவைப் படிக்கலாம், நிர்வாகக் கட்டளைகளை இயக்கலாம் அல்லது கோப்புகளை மாற்றலாம் என்ற அறிக்கை மாதிரியாக இல்லை. (பராமரிப்பாளர்)

• A report that an operator-supplied environment variable, container argument, or mounted configuration can alter generated service configuration is not a vulnerability. These are trusted deployment inputs. A CI/CD, GitOps, PaaS, Helm, or other orchestration layer that lets less-trusted users set selected values owns that delegation boundary and must validate the values before constructing the Weblate workload. (maintainer)

• ஒரு கீழ்நிலை பயன்பாடு ஆபத்தான மொழிபெயர்ப்பை வழங்கும் என்ற அறிக்கை, அந்த மொழிபெயர்ப்பைச் சேமிக்கும் போது, சரிபார்க்கும் போது, மதிப்பாய்வு செய்யும் போது அல்லது காண்பிக்கும் போது வலைபெயர்ப்பு உரிமைகோரப்பட்ட சொத்தை மீறும் வரை அது வலைபெயர்ப்பு பாதிப்பு அல்ல. (ஆவணப்படுத்தப்பட்டது) (ஆதாரம்: உள்ளூர்மயமாக்கல் அச்சுறுத்தல் மாதிரி)

இந்த மாதிரியை மாற்றும் நிலைமைகள்

Review this model when changes affect public interfaces, authentication or authorization, deployment assumptions, untrusted input processing, external integrations, execution capabilities, or security-relevant defaults. Review whether the existing scope, actors, trust boundaries, assumptions, security properties, and triage dispositions still cover the change. (maintainer)

Revise this model in the same change only when those elements change or leave a gap. This includes an unsupported component becoming supported product surface, a claimed security property changing, or an accepted vulnerability report that cannot be routed to an existing triage disposition. (maintainer)

Features that follow existing boundaries and security properties do not need individual entries. Keep endpoint schemas, permission details, configuration instructions, implementation mechanics, and numeric limits in the relevant feature or administration documentation. Link to that documentation when a detail is needed to explain a distinct boundary, exception, or triage outcome. A review that confirms existing coverage requires no threat-model edit. (maintainer)

ட்ரேச் மனோபாவங்கள்

இயல்புநிலை	பொருள்	உரிமம் பெற்றது
VALID	இன்-ச்கோப் நடிகர் மற்றும் உள்ளீடு மூலம் சொத்து வலைபெயர்ப்பு உரிமைகோரல்களை மீறுகிறது.	பாதுகாப்பு பண்புகள் வலைபெயர்ப்பு வழங்குகிறது, உள்ளீடு அனுமானங்கள், எதிரி மாதிரி
VALID-HARDENING	உரிமைகோரப்பட்ட சொத்து எதுவும் மீறப்படவில்லை, ஆனால் மாதிரியான விளைவுகளுக்குள் இருக்கும் இணக்கத்தன்மை வெப்ஊக் தூண்டுதல் போன்ற அறியப்பட்ட தவறான பயன்பாட்டின் அபாயத்தைக் குறைக்க வலைபெயர்ப்பு தேர்வுசெய்கிறது.	தெரிந்த தவறான பயன்பாட்டு முறைகள், பாதுகாப்பு பண்புகள் வலைபெயர்ப்பு வழங்காது
OUT-OF-MODEL: trusted-input	இந்த மாதிரியை நம்பகமானதாகக் குறிக்கும் உள்ளீட்டின் தாக்குதலின் கட்டுப்பாடு தேவை.	உள்ளீடு அனுமானங்கள்
OUT-OF-MODEL: adversary-not-in-scope	இந்த மாதிரியை விலக்கும் திறன் தேவை.	எதிரி மாதிரி
OUT-OF-MODEL: unsupported-component	மூன்றாம் தரப்பு ஆட்-ஆன்கள், உருவாக்கப்பட்ட ஆவணங்கள், சோதனைகள், உள்ளக தனிப்பயனாக்கம் அல்லது நோக்கத்திற்கு வெளியே குறிக்கப்பட்ட மற்றொரு கூறு.	நோக்கம் இல்லை
OUT-OF-MODEL: non-default-build	உரிமை கோரப்பட்ட சொத்தை தெரிந்தே அகற்றும் வரிசைப்படுத்தல் தேர்வுகளுக்குப் பிறகு மட்டுமே வெளிப்படும்.	கட்டமைக்கும் நேரம் மற்றும் கட்டமைப்பு மாறுபாடுகள்
BY-DESIGN: property-disclaimed	ஒரு சொத்து வலைபெயர்ப்பு வெளிப்படையாக வழங்காத கவலைகள்.	பாதுகாப்பு பண்புகள் வலைபெயர்ப்பு வழங்காது
KNOWN-NON-FINDING	ஆவணப்படுத்தப்பட்ட தொடர்ச்சியான தவறான நேர்மறையுடன் பொருந்துகிறது.	அறியப்படாத கண்டுபிடிப்புகள்
MODEL-GAP	மேலே உள்ள எந்த நிலைப்பாட்டிற்கும் சுத்தமாக வழிநடத்த முடியாது.	இந்த மாதிரியை மாற்றும் நிபந்தனைகள்