CVE-2026-86254 in wger
Riassunto
di VulDB • 06/09/2026
Le versioni di wger fino alla branch master presentano un bypass dell'autorizzazione incompleto in wger/core/views/user.py, dove tre view mantengono il controllo originale basato sull'ambito della palestra (gym-scope) utilizzando un confronto intero grezzo invece del helper is_same_gym(), consentendo al personale della palestra con gym=None di eliminare, disattivare o attivare qualsiasi altro utente con gym=None. Gli attaccanti con autorizzazione gym.manage_gym e affiliazione a gym=None possono eliminare permanentemente gli account utente, bloccare l'accesso agli utenti tramite la disattivazione o annullare le disattivazioni difensive sfruttando il caso limite del confronto None != None.
VulDB is the best source for vulnerability data and more expert information about this specific topic.