CVE-2026-77508

See a problem?
Please try reporting it to the source first.
Source
https://cve.org/CVERecord?id=CVE-2026-77508
Import Source
https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-77508.json
JSON Data
https://api.osv.dev/v1/vulns/CVE-2026-77508
Aliases
  • GHSA-x84p-6892-473c
Published
2026-08-26T19:56:59Z
Modified
2026-09-11T03:30:15Z
Severity
  • 3.5 (Low) CVSS_V3 - CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N CVSS Calculator
Summary
Weblate: Unverified REST API email changes
Details

Weblate is a web based localization tool. Prior to 2026.8, an authenticated user can change the account's primary email through PUT or PATCH requests to /api/users/{username}/ without verifying the new address, allowing a later team invitation for that address to be accepted without access to the intended recipient's mailbox. This issue is fixed in version 2026.8.

Database specific 
{
    "cna_assigner": "GitHub_M",
    "cwe_ids": [
        "CWE-302",
        "CWE-841"
    ],
    "osv_generated_from": "https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/77xxx/CVE-2026-77508.json"
}
References

Affected packages

Git / github.com/weblateorg/weblate

Affected ranges

Type
GIT
Repo
https://github.com/weblateorg/weblate
Events
Introduced
0 Unknown introduced commit / All previous commits are affected
Fixed
b924fd613e7e3bb93e2f0ff5640ee82b5d3620a5
Database specific
Show details 
{
    "extracted_events": [
        {
            "introduced": "0"
        },
        {
            "fixed": "2026.8"
        }
    ],
    "source": "AFFECTED_FIELD"
}

Affected versions

weblate-0.*
weblate-0.1
weblate-0.2
weblate-0.3
weblate-0.5
weblate-0.6
weblate-0.8
weblate-0.9
weblate-1.*
weblate-1.0
weblate-1.1
weblate-1.2
weblate-1.3
weblate-1.4
weblate-1.5
weblate-1.6
weblate-1.7
weblate-1.8
weblate-1.9
weblate-2.*
weblate-2.1
weblate-2.10
weblate-2.11
weblate-2.12
weblate-2.13
weblate-2.13.1
weblate-2.14
weblate-2.14.1
weblate-2.15
weblate-2.16
weblate-2.17
weblate-2.18
weblate-2.19
weblate-2.19.1
weblate-2.2
weblate-2.20
weblate-2.3
weblate-2.4
weblate-2.5
weblate-2.7
weblate-2.8
weblate-2.9
weblate-2026.*
weblate-2026.5
weblate-2026.6
weblate-2026.7
weblate-2026.7.1
weblate-3.*
weblate-3.0
weblate-3.0.1
weblate-3.1
weblate-3.1.1
weblate-3.10
weblate-3.10.1
weblate-3.10.2
weblate-3.11
weblate-3.11.1
weblate-3.2
weblate-3.2.1
weblate-3.3
weblate-3.4
weblate-3.5
weblate-3.5.1
weblate-3.6
weblate-3.6.1
weblate-3.7
weblate-3.7.1
weblate-3.8
weblate-3.9
weblate-3.9.1
weblate-4.*
weblate-4.0
weblate-4.0.1
weblate-4.0.2
weblate-4.1
weblate-4.1.1
weblate-4.10
weblate-4.10.1
weblate-4.11
weblate-4.11.1
weblate-4.11.2
weblate-4.12
weblate-4.12.1
weblate-4.13
weblate-4.13.1
weblate-4.14
weblate-4.14.1
weblate-4.14.2
weblate-4.15
weblate-4.15.1
weblate-4.16
weblate-4.16.1
weblate-4.16.2
weblate-4.17
weblate-4.18
weblate-4.18.1
weblate-4.2
weblate-4.2.1
weblate-4.3
weblate-4.3.1
weblate-4.3.2
weblate-4.4
weblate-4.4.1
weblate-4.5
weblate-4.5.1
weblate-4.5.2
weblate-4.6
weblate-4.7
weblate-4.7.1
weblate-4.7.2
weblate-4.8
weblate-4.8.1
weblate-4.9
weblate-4.9.1
weblate-5.*
weblate-5.0.1
weblate-5.0.2
weblate-5.1
weblate-5.1.1
weblate-5.10
weblate-5.10.1
weblate-5.10.2
weblate-5.10.3
weblate-5.11
weblate-5.11.1
weblate-5.12
weblate-5.12.1
weblate-5.12.2
weblate-5.13
weblate-5.13.1
weblate-5.13.2
weblate-5.14
weblate-5.14.1
weblate-5.15
weblate-5.15.1
weblate-5.15.2
weblate-5.16
weblate-5.16.1
weblate-5.17
weblate-5.17.1
weblate-5.2
weblate-5.2.1
weblate-5.3
weblate-5.4
weblate-5.5
weblate-5.5.1
weblate-5.5.2
weblate-5.5.3
weblate-5.5.4
weblate-5.5.5
weblate-5.6
weblate-5.6.1
weblate-5.7
weblate-5.7.1
weblate-5.7.2
weblate-5.8
weblate-5.8.1
weblate-5.8.2
weblate-5.9
weblate-5.9.1
weblate-5.9.2

Database specific

source 
"https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-77508.json"