CVE-2026-86257

Nome do Software Vulnerável e Versões Afetadas wger versões anteriores a 2.6

Description O aplicativo falha ao sanitizar os campos first name e last name no endpoint de exportação TSV de membros da academia. Isso permite que um membro da academia realize a Injeção de CSV inserindo fórmulas de planilha, como =HYPERLINK, nesses campos. Quando um administrador abre o arquivo exportado usando softwares como Excel ou LibreOffice Calc, essas fórmulas podem ser executadas para exfiltrar dados administrativos ou executar código arbitrário.

Recommendations Atualize o wger para a versão 2.6 ou posterior. Como medida de mitigação temporária, restrinja o uso do endpoint de exportação TSV de membros da academia até que a atualização seja aplicada.