CVE-2026-46437 in wger
요약
\~에 의해 VulDB • 2026. 10. 07.
wger은 무료 오픈소스 운동 및 피트니스 관리 도구입니다. 버전 2.6 미만의 `wger`에는 인증/세션 수명 주기에서 취약점이 존재하며, 사용자가 로그아웃하거나 비밀번호를 변경한 후에도 Bearer 스타일 API 자격 증명이 유효하게 유지됩니다. 피해자의 DRF authtoken(`Authorization: Token ...`) 또는 JWT refresh token을 탈취한 공격자는 토큰이 수동으로 회전/삭제(DRF 토큰)되거나 자연적으로 만료(JWT refresh)될 때까지 보호되는 `/api/v2/*` 엔드포인트에 계속 접근할 수 있습니다. 버전 2.6에는 패치가 포함되어 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.