Vulnerabilidad en wger (CVE-2026-27839)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

26/02/2026

Última modificación:

03/03/2026

Descripción

wger es un gestor gratuito y de código abierto de entrenamientos y estado físico. En las versiones hasta la 2.4 inclusive, tres puntos finales de acción &#39;nutritional_values&#39; recuperan objetos a través de &#39;Model.objects.get(pk=pk)&#39; — una llamada ORM directa que omite el queryset con ámbito de usuario. Cualquier usuario autenticado puede leer los datos del plan de nutrición privado de otro usuario, incluyendo la ingesta calórica y el desglose completo de macronutrientes, al proporcionar un PK arbitrario. El commit 29876a1954fe959e4b58ef070170e81703dab60e contiene una solución para el problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno