CVE-2026-86256

Nome do Software Vulnerável e Versões Afetadas wger versões anteriores a 2.6

Description A view trainer login em wger/core/views/user.py permite um redirecionamento aberto. Isso ocorre quando um treinador entra no modo de personificação e a view redireciona para o parâmetro GET next usando HttpResponseRedirect() sem validá-lo através de url has allowed host and scheme(). Um invasor pode usar um link manipulado para redirecionar um treinador autenticado para um domínio externo, o que pode levar a phishing ou ao vazamento da estrutura de URL interna, incluindo o user pk do usuário personificado, por meio do cabeçalho Referer.

Recommendations Atualize o wger para a versão 2.6 ou posterior.