CVE-2026-43977 in wger
Riassunto
di VulDB • 17/07/2026
wger è un gestore di allenamenti e fitness gratuito e open-source. Nelle versioni precedenti alla 2.6, qualsiasi utente autenticato può leggere le note delle sessioni di allenamento private, la cronologia degli esercizi e le statistiche di addestramento di un altro utente chiamando le azioni /logs/ e /stats/ su una routine che non possiede. La vulnerabilità è presente in RoutineViewSet (wger/manager/api/views.py). La view definisce due azioni personalizzate, /logs/ e /stats/, destinate a restituire i dati relativi alla cronologia di allenamento dell'utente richiedente all'interno di una specifica routine. Tuttavia, il controllo dei permessi sottostante (RoutinePermission.has_object_permission) concede l'accesso in lettura a qualsiasi utente autenticato quando la routine ha is_template=True, indipendentemente dalla proprietà della stessa. Quando le azioni /logs/ o /stats/ vengono invocate su una routine non posseduta dall'attaccante, queste restituiscono la cronologia di allenamento privata del proprietario e non quella dell'attaccante. Questo problema è stato risolto nella versione 2.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.