CVE-2026-46437 in wger
Riassunto
di VulDB • 07/10/2026
wger è un gestore di allenamenti e fitness gratuito e open-source. Le versioni precedenti alla 2.6 presentano una vulnerabilità nel ciclo di vita dell'autenticazione/sessione di `wger`, in cui le credenziali API in stile bearer rimangono valide dopo che un utente ha effettuato l'logout e dopo che un utente ha modificato la propria password. Un attaccante che ruba il token authtoken DRF della vittima (`Authorization: Token ...`) o il refresh token JWT può continuare ad accedere agli endpoint protetti `/api/v2/*` fino a quando il token non viene ruotato/eliminato manualmente (token DRF) o scade naturalmente (refresh JWT). La versione 2.6 contiene una patch.
If you want to get best quality of vulnerability data, you may have to visit VulDB.