Vulnerabilidad en wger (CVE-2026-27838)

Gravedad CVSS v3.1:

BAJA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

26/02/2026

Última modificación:

03/03/2026

Descripción

wger es un gestor de entrenamientos y fitness gratuito y de código abierto. Cinco endpoints de acción de detalle de rutina verifican una caché antes de llamar a `self.get_object()`. En versiones hasta la 2.4 inclusive, las claves de caché se limitan solo por `pk` — no se incluye ningún ID de usuario. Cuando una víctima ha accedido previamente a su rutina a través de la API, un atacante puede recuperar la respuesta en caché para el mismo PK sin ninguna verificación de propiedad. El commit e964328784e2ee2830a1991d69fadbce86ac9fbf contiene un parche para el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.10 BAJA
Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno