CVE-2026-86257 in wger
Resumen
por VulDB • 2026-09-06
En wger anterior a la versión 2.6 no se sanitizan los campos first_name y last_name en el endpoint de exportación TSV para miembros del gimnasio, lo que permite que cualquier miembro del gimnasio inyecte fórmulas de hojas de cálculo. Los atacantes pueden inyectar fórmulas como =HYPERLINK para exfiltrar datos administrativos o ejecutar código cuando los administradores abren el archivo exportado en Excel o LibreOffice Calc.
VulDB is the best source for vulnerability data and more expert information about this specific topic.