wger is a free, open-source workout and fitness manager. Five routine detail action endpoints check a cache before calling `self.get_object()`. In versions up to and including 2.4, ache keys are scoped only by `pk` — no user ID is included. When a victim has previously accessed their routine via the API, an attacker can retrieve the cached response for the same PK without any ownership check. Commit e964328784e2ee2830a1991d69fadbce86ac9fbf contains a patch for the issue.
Wger fitness manager versions up to 2.4 have an improper cache key scoping vulnerability where routine details are cached by primary key only, allowing attackers to access other users' cached routine data. The vulnerability requires prior victim access and affects only cached responses, limiting its practical impact.
يحتوي إصدار wger 2.4 وما قبله على ضعف في نطاق مفتاح التخزين المؤقت حيث يتم تخزين تفاصيل الروتين مؤقتاً باستخدام معرف أساسي فقط دون تضمين معرف المستخدم. يمكن للمهاجمين الوصول إلى البيانات المخزنة مؤقتاً لمستخدمين آخرين إذا كانوا قد وصلوا سابقاً إلى نفس معرف الروتين عبر واجهة برمجية التطبيقات.
Wger fitness manager versions up to 2.4 have an improper cache key scoping vulnerability where routine details are cached by primary key only, allowing attackers to access other users' cached routine data. The vulnerability requires prior victim access and affects only cached responses, limiting its practical impact.
Update wger to version 2.5 or later which includes commit e964328784e2ee2830a1991d69fadbce86ac9fbf that properly scopes cache keys by both primary key and user ID. Organizations should also review access logs for unauthorized routine data access.
قم بتحديث wger إلى الإصدار 2.5 أو أحدث الذي يتضمن الإصلاح الذي يقيد مفاتيح التخزين المؤقت بشكل صحيح بناءً على معرف المستخدم ومفتاح البيانات الأساسي. يجب على المنظمات أيضاً مراجعة سجلات الوصول للكشف عن أي وصول غير مصرح به لبيانات الروتين.