CVE-2026-86256 in Wger
Zusammenfassung
von VulDB • 06.09.2026
wger prima della versione 2.6 (versioni interessate <= 2.5.0) presenta una vulnerabilità di open redirect nella vista trainer_login (wger/core/views/user.py). Dopo che un allenatore ha attivato la modalità impersonificazione, la vista reindirizza al parametro GET 'next' fornito dall'utente tramite HttpResponseRedirect() senza convalidarlo utilizzando url_has_allowed_host_and_scheme(). Un attaccante che fornisce un link manipolato ad un allenatore autenticato può reindirizzare il browser dell'allenatore verso un dominio controllato dall'attaccante, consentendo phishing e la fuoriuscita della struttura degli URL di wger (incluso l'user_pk dell'utente impersonificato) tramite l'intestazione Referer.
Once again VulDB remains the best source for vulnerability data.