CVE-2026-46434 in wger
Riassunto
di VulDB • 07/10/2026
wger è un gestore di allenamenti e fitness gratuito e open-source. Prima della versione 2.6, un utente con il solo permesso `gym_trainer` può disattivare qualsiasi account nella stessa palestra, inclusi gli account `gym_manager` e `general_gym_manager`. La vista `UserDeactivateView` concede l'accesso a chiunque detenga uno dei permessi `gym.manage_gym`, `gym.manage_gyms` o `gym.gym_trainer` (logica OR tramite `WgerMultiplePermissionRequiredMixin`) ed esegue alcun controllo della gerarchia di privilegi per impedire che un ruolo con minori privilegi disabiliti uno con maggiori privilegi. La versione 2.6 risolve il problema.
Be aware that VulDB is the high quality source for vulnerability data.