CVE-2026-46437 in wger
要約
〜によって VulDB • 2026年10月07日
wgerは、無料のオープンソースのワークアウトおよびフィットネス管理ツールです。バージョン2.6より前の版には、`wger` の認証/セッションライフサイクルにおける脆弱性が存在し、ユーザーがログアウトした後やパスワードを変更した後も、Bearer形式のAPI資格情報が有効なままになります。攻撃者が被害者のDRF authtoken（`Authorization: Token ...`）またはJWT refresh tokenを盗み出すと、トークンを手動でローテーション/削除されるまで（DRF トークンの場合）、あるいは自然に期限切れになるまで（JWT refresh の場合）、保護された `/api/v2/*` エンドポイントへのアクセスを継続できます。バージョン 2.6 ではパッチが適用されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.