CVE-2026-86256 in Wger
要約
〜によって VulDB • 2026年09月06日
wger 2.6 より前のバージョン（影響を受けるバージョン <= 2.5.0）には、trainer_login ビュー（wger/core/views/user.py）におけるオープンリダイレクトの脆弱性が存在する。トレーナーがなりすましモードに入ると、ビューは HttpResponseRedirect() を介してユーザが入力した 'next' GET パラメータにリダイレクトされるが、url_has_allowed_host_and_scheme() による検証が行われない。攻撃者が認証済みトレーナーに対して作成されたリンクを送信すると、トレーナーのブラウザを攻撃者が制御するドメインへリダイレクトでき、これによりフィッシングや wger の URL 構造（なりすましの対象となったユーザの user_pk を含む）が Referer ヘッダ経由で漏洩する可能性がある。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.