CVE-2026-86254 in wger
Zusammenfassung
von VulDB • 06.09.2026
In wger versions bis zur Master-Version ist in wger/core/views/user.py eine unvollständige Umgehung der Autorisierung vorhanden, bei der drei Ansichten die ursprüngliche gym-scope-Prüfung unter Verwendung eines rohen Integer-Vergleichs anstelle des is_same_gym()-Hilfsprogramms beibehalten. Dies ermöglicht es Gym-Mitarbeitern mit gym=None, jeden anderen Benutzer mit gym=None zu löschen, zu deaktivieren oder zu aktivieren. Angreifer mit der Berechtigung gym.manage_gym und einer Zugehörigkeit zu gym=None können Benutzerkonten dauerhaft löschen, Benutzer durch Deaktivierung aussperren oder defensive Deaktivierungen aushebeln, indem sie den Kantenfall des None != None-Vergleichs ausnutzen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.