p PatchFirst

CVE-2026-86257

CVE-2026-86257 · wger before 2.6 CSV Formula Injection via member export

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

wger before 2.6 fails to sanitize first_name and last_name fields in the gym member TSV export endpoint, allowing any gym member to inject spreadsheet formulas. Attackers can inject formulas like =HYPERLINK to exfiltrate admin data or execute code when admins open the exported file in Excel or LibreOffice Calc.

CVSS 4.8 · Media · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • wger

    Versiones
    • ≥ 0, < 2.6: Afectada (custom)
    • 2.6: No afectada (custom)

    Actualiza a 2.6

  • wger PyPI

    Versiones
    • 1.1
    • 1.1.1
    • 1.2
    • 1.2rc1
    • 1.3
    • 1.4
    • 1.5
    • 1.6
    • 1.6.1
    • 1.7
    • 1.8
    • 1.9
    • 2.0
    • 2.1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.6

    Actualiza a 2.6

Fuentes originales

Comprueba tu servidor →