CVE-2026-27838

إصدارات wger الأقدم من 2.4

يحتوي البرنامج على ثغرة تتمثل في أن نقاط نهاية إجراءات تفاصيل الروتين تتحقق من ذاكرة التخزين المؤقت قبل تأكيد ملكية الكائن باستخدام self.get object(). يتم تعريف مفاتيح ذاكرة التخزين المؤقت بالمفتاح الأساسي (pk) فقط ولا تتضمن معرّف المستخدم. وهذا يسمح للمهاجم باسترداد الردود المخزنة مؤقتًا للمفتاح الأساسي لإحدى الروتينات دون الحصول على التفويض المناسب، في حال كان الضحية قد قام سابقًا بالوصول إلى الروتين عبر واجهة برمجة التطبيقات (API). نقاط نهاية واجهة برمجة التطبيقات المتأثرة هي: ’/api/v2/routine/{pk}/date-sequence-display/‘، ’/api/v2/routine/{pk}/date-sequence-gym/‘، '/api/v2/routine/{pk}/structure/’، و‘/api/v2/routine/{pk}/logs/’، و‘/api/v2/routine/{pk}/stats/'. المتغير المعرض للخطر المستخدم في إنشاء مفتاح ذاكرة التخزين المؤقت هو routine id. يمكن للمهاجم، نظريًا، استرداد تفاصيل روتين مستخدم آخر، بما في ذلك تسلسل أيام التدريب، وهيكل التمارين، وسجلات التدريب، والإحصائيات، من ذاكرة التخزين المؤقت دون التحقق من الملكية. مدة صلاحية (TTL) ذاكرة التخزين المؤقت هي شهر واحد.

الإصدارات الأقدم من 2.4: قم بتضمين معرّف المستخدم في بناء مفتاح ذاكرة التخزين المؤقت لتحديد الردود المخزنة في ذاكرة التخزين المؤقت لكل مستخدم بشكل فريد. أو بدلاً من ذلك، انقل استدعاء الدالة self.get object() قبل الاستعلام عن ذاكرة التخزين المؤقت لضمان التحقق من الملكية دائمًا أولاً.