CVE-2026-46437 in wger
Tóm tắt
Bởi VulDB • 07/10/2026
wger là một công cụ quản lý tập luyện và thể dục miễn phí, mã nguồn mở. Các phiên bản trước 2.6 có lỗ hổng trong vòng đời xác thực/phiên của `wger`, nơi các thông tin đăng nhập API theo dạng bearer vẫn còn hợp lệ sau khi người dùng đăng xuất và sau khi người dùng thay đổi mật khẩu. Kẻ tấn công đánh cắp DRF authtoken (`Authorization: Token ...`) hoặc JWT refresh token của nạn nhân có thể tiếp tục truy cập vào các endpoint `/api/v2/*` được bảo vệ cho đến khi token được xoay/xóa thủ công (DRF token) hoặc tự động hết hạn (JWT refresh). Phiên bản 2.6 chứa một bản vá lỗi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.