CVE-2026-43948
KrytyczneStreszczenie
W wger przed wersją 2.6 występuje podatność, która pozwala użytkownikowi z uprawnieniami gym.manage_gym na zresetowanie hasła dowolnego użytkownika bez przypisania do siłowni. Wykorzystując błąd w porównaniu obiektów, atakujący może przejąć konto ofiary, a oryginalne hasło ofiary zostaje unieważnione.
Ocena ryzyka
Organizacja narażona jest na ryzyko przejęcia kont użytkowników, co może prowadzić do utraty danych oraz dostępu do poufnych informacji. Atakujący może zablokować ofiary, uniemożliwiając im dostęp do ich kont.
Rekomendacja
Zaleca się aktualizację wger do wersji 2.6 lub nowszej, aby usunąć tę podatność. Należy również przeprowadzić audyt uprawnień użytkowników, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
wger is a free, open-source workout and fitness manager. Prior to 2.6, the reset_user_password and gym_permissions_user_edit views in wger perform a gym-scope authorization check using Python object comparison (!=) that evaluates None != None as False, silently bypassing the guard when both the attacker and victim have no gym assignment (gym=None). A user with gym.manage_gym permission and gym=None can reset the password of any other gym=None user; the new plaintext password is returned verbatim in the HTML response body, enabling one-shot full account takeover. The victim's original password is invalidated, locking them out permanently. This vulnerability is fixed in 2.6.