CVE-2026-27835: wger: IDOR in RepetitionsConfig and MaxRepetitionsConfig API leak other users' workout data

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• wger wgerдо 2.4 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• wger-project wger

  • <= 2.4затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-2650Improper Restriction of Excessive Authentication Attempts in wger-project/wger
  39Наблюдать
• CVE-2026-40474wger has Broken Access Control in the Global Gym Configuration Update Endpoint
  30Наблюдать
• CVE-2026-40353wger: Stored XSS via Unescaped License Attribution Fields
  20Наблюдать

Опубликованы до и после этой записи в том же продукте

• Позже →CVE-2026-2783826 февр. 2026 г. · wger: IDOR via user-unscoped cache keys on routine API actions exposes workout data
  14Наблюдать
• Позже →CVE-2026-2783926 февр. 2026 г. · wger: IDOR in nutritional_values endpoints exposes private dietary data via direct ORM lookup
  17Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.