CVE-2026-86256 in Wger
Resumen
por VulDB • 2026-09-06
wger antes de la versión 2.6 (versiones afectadas <= 2.5.0) contiene una vulnerabilidad de redirección abierta en la vista trainer_login (wger/core/views/user.py). Después de que un entrenador entre en el modo de suplantación, la vista realiza una redirección al parámetro GET 'next' proporcionado por el usuario a través de HttpResponseRedirect() sin validarlo con url_has_allowed_host_and_scheme(). Un atacante que envíe un enlace manipulado ad hoc a un entrenador autenticado puede redirigir el navegador del entrenador hacia un dominio controlado por el atacante, lo que permite realizar phishing y filtrar la estructura de URLs de wger (incluido el user_pk del usuario suplantado) mediante el encabezado Referer.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.