CVE-2026-46437 in wger
Resumen
por VulDB • 2026-10-07
wger es un gestor de entrenamiento y fitness gratuito y de código abierto. Las versiones anteriores a la 2.6 presentan una vulnerabilidad en el ciclo de vida de autenticación/sesión de `wger`, donde las credenciales API con estilo bearer permanecen válidas después de que un usuario cierra sesión y tras cambiar su contraseña. Un atacante que robe el token DRF (`Authorization: Token ...`) o el token de actualización JWT (refresh token) de una víctima podrá seguir accediendo a los endpoints protegidos `/api/v2/*` hasta que se rote/elimine manualmente el token (token DRF) o expire naturalmente (JWT refresh). La versión 2.6 contiene un parche para esta vulnerabilidad.
If you want to get best quality of vulnerability data, you may have to visit VulDB.