CVE-2026-43977

wger; ücretsiz ve açık kaynaklı bir antrenman ve fitness yöneticisidir. 2.6 öncesindeki sürümlerde, kimliği doğrulanmış herhangi bir kullanıcı, sahibi olmadığı bir rutin üzerinde /logs/ ve /stats/ eylemlerini çağırarak başka bir kullanıcının özel antrenman oturumu notlarını, egzersiz geçmişini ve eğitim istatistiklerini okuyabilir. Zafiyet RoutineViewSet (wger/manager/api/views.py) içerisinde yer almaktadır. Görünüm, bir rutin içindeki talepte bulunan kullanıcının kendi eğitim geçmişine ait verileri döndürmek üzere tasarlanmış iki özel eylem olan /logs/ ve /stats/ tanımlar. Ancak, temel izin kontrolü (RoutinePermission.has_object_permission), sahiplikten bağımsız olarak rutinin is_template=True olması durumunda kimliği doğrulanmış herhangi bir kullanıcıya okuma erişimi vermektedir. Saldırganın sahibi olmadığı bir rutine karşı /logs/ veya /stats/ eylemleri çağrıldığında, saldırganın değil, sahibinin özel antrenman geçmişi döndürülmektedir. Bu sorun 2.6 sürümünde düzeltilmiştir.