CVE-2026-40353

Name of the Vulnerable Software and Affected Versions wger versões anteriores a 2.5

Description A propriedade attribution link em AbstractLicenseModel constrói HTML interpolando diretamente campos de licença controlados pelo usuário sem a devida filtragem. Esses campos incluem license author, license title, license object url, license author url e license derivative source url. Como os templates renderizam o resultado usando o filtro |safe do Django, que desativa a auto-filtragem, um usuário autenticado pode injetar JavaScript malicioso no campo license author. Isso resulta em Cross-Site Scripting (XSS) armazenado, onde o script é executado no navegador de qualquer visitante que visualize a página do ingrediente afetada. O problema é acessível através do endpoint '/en/nutrition/ingredient/add/'.

Recommendations Atualize para a versão 2.5 ou superior. Como medida paliativa temporária, restrinja o acesso ao campo license author no formulário de criação de ingredientes para minimizar o risco de exploração.