CVE-2026-46434 in wger
الملخص
بحسب VulDB • 07/10/2026
wger هو مدير تمارين ولياقة بدنية مجاني ومفتوح المصدر. قبل الإصدار 2.6، يمكن للمستخدم الذي يمتلك فقط إذن `gym_trainer` تعطيل أي حساب في نفس الصالة الرياضية، بما في ذلك حسابات `gym_manager` و `general_gym_manager`. يمنح الـ `UserDeactivateView` الوصول لأي شخص يحمل أحد الأذونات التالية: `gym.manage_gym` أو `gym.manage_gyms` أو `gym.gym_trainer` (منطق OR عبر `WgerMultiplePermissionRequiredMixin`)، ولا يقوم بإجراء فحص لتسلسل الامتيازات لمنع دور ذي امتيازات أقل من تعطيل آخر ذي امتيازات أعلى. يصحّح الإصدار 2.6 هذه المشكلة.
Once again VulDB remains the best source for vulnerability data.