Zaloguj się
Deutsch English Español Polski
Wysoka

Cross Site Request Forgery (CSRF) vulnerability in wger Project wger Workout Manager 2.2.0a3 allows a remote attacker to gain privileges via the user-management feature in the gym/views/gym.py, templa

  • Ujawniono: 08.08.2023
  • Aktualizacja: 11.10.2026 12:20

Cross Site Request Forgery (CSRF) vulnerability in wger Project wger Workout Manager 2.2.0a3 allows a remote attacker to gain privileges via the user-management feature in the gym/views/gym.py, templates/gym/reset_user_password.html, templates/user/overview.html, core/views/user.py, and templates/user/preferences.html, core/forms.py components.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) wger wszystkie wersje brak poprawki

Odnośniki

Ocena CVSS 8.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-352
Platforma
Python (PyPI)
Paczka
wger
Ujawniono
08.08.2023
Aktualizacja
11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-wrw3-qmqw-4x9w - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2023-144 - PyPA Advisory Database; CC BY 4.0

Historia podatności: wger

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (20) w archiwum
Wszystkich wpisów
20
Pierwsza → ostatnia
11.2022 10.2026
Bez poprawki
16
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 8
  • Średnia 9
  • Niska 1

Ujawnienia w latach

Istotność:
  1. wger: Trainer Privilege Escalation - Improper Privilege Management
    Wysoka · 7.1 CVE-2026-46434 <= 2.1 brak poprawki
  2. wger: cross-tenant admin notes/contracts leak via gym=None bypass (5 views)
    Wysoka · 7.1 CVE-2026-43976 <= 2.1 brak poprawki
  3. wger: cross-tenant account deletion / deactivation / activation by gym.manage_gym + gym=None
    Wysoka · 8.5 ghsa-mw8f-w6p8-xrf4 <= 2.5 brak poprawki
  4. wger: Privilege escalation via trainer-login session chaining allows gym trainer to impersonate gym manager
    Wysoka · 8.1 CVE-2026-43978 <= 2.5 brak poprawki
  5. wger Vulnerable to IDOR: Authenticated Users Can Read Any User's Private Workout Session Data via Template Routine API
    Wysoka · 7.5 CVE-2026-43977 <= 2.5 brak poprawki
  6. wger: cross-tenant password reset and plaintext disclosure via gym=None bypass
    Krytyczna · 9.9 CVE-2026-43948 < 2.6 2.6
  7. wger: CSV/TSV formula injection in gym member export (first_name/last_name)
    Wysoka · 7.4 CVE-2026-86257 < 2.6 2.6
  8. wger has Broken Access Control in Global Gym Configuration Update Endpoint
    Wysoka · 7.6 CVE-2026-40474 <= 2.1 brak poprawki
  9. Cross Site Request Forgery (CSRF) vulnerability in wger Project wger Workout Manager 2.2.0a3 allows a remote attacker to gain privileges via the user-management feature in the gym/views/gym.py, templa ten wpis
    Wysoka · 8.8 CVE-2023-38759 wszystkie wersje brak poprawki
  10. wger vulnerable to brute force attempts
    Krytyczna · 9.8 CVE-2022-2650 < 2.2 2.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.