CVE-2026-46438

Nome do Software Vulnerável e Versões Afetadas wger versões anteriores a 2.6

Descrição Um invasor autenticado pode injetar entradas de log de treino arbitrárias no SlotEntry de outro usuário ao fornecer o ID slot entry da vítima em uma requisição POST /api/v2/workoutlog/. Isso ocorre porque a chave estrangeira slot entry é omitida da verificação de propriedade realizada pela função WorkoutLogViewSet.get owner objects(), permitindo que o servidor persista referências entre usuários diferentes.

Além disso, a função SlotEntry.get config data() recupera logs associados usando self.workoutlog set.all() sem aplicar um filtro de usuário. Consequentemente, os dados injetados são incluídos nos cálculos de sobrecarga progressiva da vítima, o que pode corromper as metas de peso e repetições geradas automaticamente. Sobrecarga progressiva é um método de treinamento onde o peso ou o número de repetições é aumentado gradualmente para melhorar o condicionamento físico.

Recomendações Atualize para a versão 2.6. Como mitigação temporária, restrinja o acesso ao endpoint POST /api/v2/workoutlog/ ou evite usar o parâmetro slot entry até que a atualização seja aplicada.