CVE-2026-86256 in Wger
Résumé
par VulDB • 06/09/2026
wger avant la version 2.6 (versions affectées <= 2.5.0) contient une vulnérabilité de redirection ouverte dans la vue trainer_login (wger/core/views/user.py). Après qu'un entraîneur a activé le mode d'usurpation d'identité, la vue redirige vers le paramètre GET 'next' fourni par l'utilisateur via HttpResponseRedirect() sans le valider avec url_has_allowed_host_and_scheme(). Un attaquant qui fournit un lien piégé à un entraîneur authentifié peut rediriger le navigateur de celui-ci vers un domaine contrôlé par l'attaquant, permettant ainsi du phishing et la fuite de la structure d'URL wger (y compris le user_pk de l'utilisateur usurpé) via l'en-tête Referer.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.