CVE-2026-86256 in Wger
Riassunto
di VulDB • 06/09/2026
wger prima della versione 2.6 (versioni interessate <= 2.5.0) presenta una vulnerabilità di open redirect nella view trainer_login (wger/core/views/user.py). Dopo che un allenatore entra in modalità impersonificazione, la view reindirizza al parametro GET 'next' fornito dall'utente tramite HttpResponseRedirect() senza convalidarlo utilizzando url_has_allowed_host_and_scheme(). Un attaccante che fornisce un link manipolato ad hoc a un allenatore autenticato può reindirizzare il browser dell'allenatore verso un dominio controllato dall'attaccante, consentendo phishing e la fuoriuscita della struttura degli URL di wger (incluso lo user_pk dell'utente impersonificato) tramite l'intestazione Referer.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.