CVE-2026-43948: wger: autorização incorreta em views de redefinição de senha permite tomada de conta

Visão geral

O registro descreve uma falha de autorização incorreta (CWE-863) nas views reset_user_password e gym_permissions_user_edit do wger, gerenciador gratuito e de código aberto para treinos e fitness. A verificação de escopo de academia compara objetos com o operador !=, que avalia None != None como False, e por isso a proteção deixa de funcionar quando os dois usuários não têm academia atribuída.

Impacto

Segundo o registro, um usuário com a permissão gym.manage_gym e sem academia atribuída pode redefinir a senha de outro usuário também sem academia atribuída.
A nova senha é devolvida em texto puro no corpo da resposta HTML.
A senha original da vítima é invalidada, o que, segundo o registro, a impede de acessar a conta.
O registro descreve o resultado como tomada completa da conta. A pontuação base CVSS 3.1 de 9.9 (Crítica) é fornecida pela fonte de avisos do GitHub.

Produtos afetados e versões

Produto: wger, conforme a referência do aviso no GitHub.
Afetados: versões anteriores à 2.6, conforme a descrição do registro.
Corrigido: a partir da versão 2.6, conforme a descrição do registro.
Os campos estruturados de afetados e correções do registro estão vazios, portanto os intervalos exatos de versão devem ser confirmados no aviso do GitHub.

Situação de exploração

A entrada do catálogo KEV da CISA não consta no registro.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
A probabilidade EPSS no registro é 0.00443, com percentil de 0.36726.

Correção e mitigação

Atualize o wger para a versão 2.6 ou superior, que, segundo o registro, contém a correção.
Enquanto a atualização não for aplicada, restrinja a permissão gym.manage_gym a administradores de confiança.
Revise quais contas não têm academia atribuída, já que o desvio se aplica apenas a essa configuração.
Renove as senhas de contas que possam ter sido redefinidas por essas views e revise a atividade administrativa em busca de redefinições inesperadas.

Orientações de detecção

Revise os logs da aplicação em busca de redefinições de senha feitas por usuários com a permissão gym.manage_gym contra contas sem academia atribuída.
Trate redefinições inesperadas de senha e bloqueios de conta subsequentes como sinais que merecem investigação.
Confirme no inventário que a versão implantada do wger é 2.6 ou superior.

Limitações das informações disponíveis

Os dados estruturados de afetados e correções estão vazios no registro, então o intervalo afetado depende do texto da descrição.
O registro não inclui a análise técnica completa do fornecedor além da descrição.
Nenhuma disponibilidade de exploit ou prova de conceito pública é informada nas fontes consultadas.
Dados SSVC não estão disponíveis no registro.

Perguntas frequentes

O que esta vulnerabilidade permite?

Segundo o registro, um usuário com a permissão gym.manage_gym e sem academia atribuída pode redefinir a senha de outro usuário também sem academia atribuída, e a nova senha é devolvida na resposta HTML.

Quais versões são afetadas?

A descrição do registro indica que versões anteriores à 2.6 são afetadas e que a versão 2.6 contém a correção. Os campos estruturados de afetados estão vazios, então confirme os intervalos no aviso do GitHub.

Esta vulnerabilidade está sendo explorada na natureza?

O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer agora?

Atualize o wger para a versão 2.6 ou superior, restrinja a permissão gym.manage_gym enquanto isso e revise redefinições de senha recentes em busca de atividade inesperada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.