CVE-2026-86256: открытое перенаправление в wger до 2.6 ставит под угрозу тренеров
В продукте wger до версии 2.6 обнаружена уязвимость открытого перенаправления (open redirect) с оценкой CVSS 5.1 (MEDIUM). Проблема затрагивает функцию входа тренера в режим имперсонации и позволяет злоумышленнику перенаправлять аутентифицированных тренеров на фишинговые сайты. Требуется срочное обновление до актуальной версии.
Подробности
Уязвимость локализована в функции `trainer_login` (файл `wger/core/views/user.py`). При активации тренером режима имперсонации (входа под учетной записью другого пользователя) приложение выполняет редирект на значение GET-параметра `next`, переданного в запросе. Критически важно, что при формировании HTTP-ответа используется вызов `HttpResponseRedirect()` без предварительной проверки параметра с помощью функции `url_has_allowed_host_and_scheme()`. Это позволяет злоумышленнику контролировать конечный URL перенаправления. Для успешной эксплуатации атаки необходимо, чтобы аутентифицированный тренер перешел по специально сформированной вредоносной ссылке. В случае успеха браузер жертвы будет перенаправлен на домен, контролируемый атакующим. Помимо очевидного риска фишинга (поддельная страница входа или подмена интерфейса), данная уязвимость приводит к утечке конфиденциальных данных через HTTP-заголовок `Referer`: при переходе на внешний ресурс в заголовке передается URL внутренней структуры wger, включая параметр `user_pk` имперсонируемого пользователя. Это раскрывает информацию о внутренней структуре приложения и может быть использовано для дальнейших целевых атак. Базовый вектор CVSS v3 оценивает уязвимость в 5.1 балла (MEDIUM), что обусловлено необходимостью аутентификации и низкой сложностью атаки.Что делать
Администраторам и пользователям серверов wger настоятельно рекомендуется: 1. Обновить wger до версии 2.6 или более поздней, где производится корректная валидация параметра `next`. 2. В случае невозможности немедленного обновления — в качестве временной меры ограничить доступ к интерфейсу управления тренеров через межсетевой экран или настроить прокси для фильтрации входящих запросов, содержащих параметр `next` с внешними доменами. 3. Провести инструктаж для тренеров о недопустимости перехода по подозрительным ссылкам, особенно при работе в режиме имперсонации. Игнорирование данной уязвимости может привести к компрометации учетных данных и утечке персональных данных пользователей фитнес-платформы. Итог: CVE-2026-86256 представляет собой типичную проблему недостаточной валидации входных данных при редиректах. Несмотря на средний уровень критичности, практическая реализация атаки не требует сложных технических навыков, что повышает реальные риски для организаций, использующих уязвимые версии wger. Своевременное обновление является единственной надежной мерой защиты.Источник: CVE Project (cvelistV5)