CVE-2026-86257 in wger
要約
〜によって VulDB • 2026年09月06日
wger 2.6 より前のバージョンでは、ジムメンバーの TSV エクスポートエンドポイントにおいて first_name および last_name フィールドの入力値が適切にサニタイズされていないため、任意のジムメンバーがスプレッドシート数式を注入できます。攻撃者は =HYPERLINK などの数式を注入し、管理者がエクスポートされたファイルを Excel や LibreOffice Calc で開いた際に機密データの漏洩やコードの実行を引き起こす可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.