CVE-2026-41519

See a problem?
Please try reporting it to the source first.

Source

https://cve.org/CVERecord?id=CVE-2026-41519

Import Source

https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-41519.json

JSON Data

https://api.osv.dev/v1/vulns/CVE-2026-41519

Aliases

Downstream

openSUSE-SU-2026:10929-1

Related

openSUSE-SU-2026:10929-1

Published

2026-05-07T13:41:43Z

Modified

2026-08-12T03:51:19Z

Severity

4.2 (Medium) CVSS_V3 - CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N CVSS Calculator

Summary

Weblate's API Token Not Invalidated on Password Change

Details

Weblate is a web based localization tool. Prior to version 5.17.1, when a user changes their password, browser sessions are correctly invalidated via "cycle_session_keys()", but DRF API tokens ("wlu_*" prefix) stored in "authtoken_token" are not revoked. This issue has been patched in version 5.17.1.

Database specific

{
    "cna_assigner": "GitHub_M",
    "cwe_ids": [
        "CWE-613"
    ],
    "osv_generated_from": "https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41519.json"
}

References

Affected packages

Git / github.com/weblateorg/weblate

Affected ranges

Type

GIT

Repo

https://github.com/weblateorg/weblate

Events

Introduced

Fixed

ddd3f6689b5c0dc45ec31ee0a577386e9cedfc0d

Fixed

649a2da81700542f95c0807b3c625fc3bb0eaf95

Database specific

Show details

{
    "cpe": "cpe:2.3:a:weblate:weblate:*:*:*:*:*:*:*:*",
    "extracted_events": [
        {
            "introduced": "0"
        },
        {
            "fixed": "5.17.1"
        }
    ],
    "source": [
        "CPE_RANGE",
        "REFERENCES"
    ]
}

Affected versions

weblate-0.*

weblate-0.1

weblate-0.2

weblate-0.3

weblate-0.5

weblate-0.6

weblate-0.8

weblate-0.9

weblate-1.*

weblate-1.0

weblate-1.1

weblate-1.2

weblate-1.3

weblate-1.4

weblate-1.5

weblate-1.6

weblate-1.7

weblate-1.8

weblate-1.9

weblate-2.*

weblate-2.1

weblate-2.10

weblate-2.11

weblate-2.12

weblate-2.13

weblate-2.13.1

weblate-2.14

weblate-2.14.1

weblate-2.15

weblate-2.16

weblate-2.17

weblate-2.18

weblate-2.19

weblate-2.19.1

weblate-2.2

weblate-2.20

weblate-2.3

weblate-2.4

weblate-2.5

weblate-2.7

weblate-2.8

weblate-2.9

weblate-3.*

weblate-3.0

weblate-3.0.1

weblate-3.1

weblate-3.1.1

weblate-3.10

weblate-3.10.1

weblate-3.10.2

weblate-3.11

weblate-3.11.1

weblate-3.2

weblate-3.2.1

weblate-3.3

weblate-3.4

weblate-3.5

weblate-3.5.1

weblate-3.6

weblate-3.6.1

weblate-3.7

weblate-3.7.1

weblate-3.8

weblate-3.9

weblate-3.9.1

weblate-4.*

weblate-4.0

weblate-4.0.1

weblate-4.0.2

weblate-4.1

weblate-4.1.1

weblate-4.10

weblate-4.10.1

weblate-4.11

weblate-4.11.1

weblate-4.11.2

weblate-4.12

weblate-4.12.1

weblate-4.13

weblate-4.13.1

weblate-4.14

weblate-4.14.1

weblate-4.14.2

weblate-4.15

weblate-4.15.1

weblate-4.16

weblate-4.16.1

weblate-4.16.2

weblate-4.17

weblate-4.18

weblate-4.18.1

weblate-4.2

weblate-4.2.1

weblate-4.3

weblate-4.3.1

weblate-4.3.2

weblate-4.4

weblate-4.4.1

weblate-4.5

weblate-4.5.1

weblate-4.5.2

weblate-4.6

weblate-4.7

weblate-4.7.1

weblate-4.7.2

weblate-4.8

weblate-4.8.1

weblate-4.9

weblate-4.9.1

weblate-5.*

weblate-5.0.1

weblate-5.0.2

weblate-5.1

weblate-5.1.1

weblate-5.10

weblate-5.10.1

weblate-5.10.2

weblate-5.10.3

weblate-5.11

weblate-5.11.1

weblate-5.12

weblate-5.12.1

weblate-5.12.2

weblate-5.13

weblate-5.13.1

weblate-5.13.2

weblate-5.14

weblate-5.14.1

weblate-5.15

weblate-5.15.1

weblate-5.15.2

weblate-5.16

weblate-5.16.1

weblate-5.17

weblate-5.2

weblate-5.2.1

weblate-5.3

weblate-5.4

weblate-5.5

weblate-5.5.1

weblate-5.5.2

weblate-5.5.3

weblate-5.5.4

weblate-5.5.5

weblate-5.6

weblate-5.6.1

weblate-5.7

weblate-5.7.1

weblate-5.7.2

weblate-5.8

weblate-5.8.1

weblate-5.8.2

weblate-5.9

weblate-5.9.1

weblate-5.9.2

Database specific

source

"https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-41519.json"