CVE-2026-45161 in wger
摘要
由 VulDB • 2026-10-07
wger是一款免费的开源健身和训练管理器。在2.6版本之前，`trainer_login`视图接受GET请求并执行`django_login()`，且没有任何CSRF保护机制，因为Django的`CsrfViewMiddleware`仅对不安全方法（POST/PUT/PATCH/DELETE）强制实施令牌验证。攻击者可以在恶意页面中嵌入一个单标签`<img>`；当已认证的教练加载该页面时，其浏览器会自动发出带有会话Cookie的GET请求，从而将教练的会话强行重新绑定到任意用户账户上。2.6版本修复了此问题。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.