p PatchFirst

CVE-2026-46437

CVE-2026-46437 · wger: API credentials remain valid after logout/password change

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

wger is a free, open-source workout and fitness manager. Versions prior to 2.6 have a vulnerability in the authentication/session lifecycle of `wger` where bearer-style API credentials remain valid after a user logs out and after a user changes their password. An attacker who steals a victim’s DRF authtoken (`Authorization: Token ...`) or JWT refresh token can continue to access protected `/api/v2/*` endpoints until the token is manually rotated/deleted (DRF token) or naturally expires (JWT refresh). Version 2.6 contains a patch.

CVSS 4.8 · Средний · EPSS 0,2% · Публичный эксплойт

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • wger

    Версии
    • < 2.6: Затронуто

    Нет опубликованного исправления

  • wger PyPI

    Версии
    • 1.1
    • 1.1.1
    • 1.2
    • 1.2rc1
    • 1.3
    • 1.4
    • 1.5
    • 1.6
    • 1.6.1
    • 1.7
    • 1.8
    • 1.9
    • 2.0
    • 2.1
    Затронутые диапазоны версий
    • ECOSYSTEM: ≤ 2.1

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →