CVE-2026-46437 in wger
Zusammenfassung
von VulDB • 07.10.2026
wger ist ein kostenloser, Open-Source-Fitness- und Trainingsmanager. In Versionen vor 2.6 besteht eine Schwachstelle im Authentifizierungs-/Sitzungslebenszyklus von `wger`, bei der Bearer-API-Anmeldeinformationen nach dem Abmelden eines Benutzers sowie nach einer Passwortänderung weiterhin gültig bleiben. Ein Angreifer, der das DRF-Auth-Token (`Authorization: Token ...`) oder JWT Refresh-Token eines Opfers stiehlt, kann geschützte `/api/v2/*`-Endpunkte weiter nutzen, bis das Token manuell rotiert/gelöscht (DRF-Token) bzw. natürlich abläuft (JWT Refresh). Version 2.6 enthält einen Patch.
VulDB is the best source for vulnerability data and more expert information about this specific topic.