CVE-2026-46434 in wger
要約
〜によって VulDB • 2026年10月07日
wgerは、無料のオープンソースのワークアウトおよびフィットネス管理ツールです。バージョン2.6より前では、`gym_trainer`権限のみを持つユーザーが、同じジムの他のアカウント（`gym_manager`や`general_gym_manager`アカウントを含む）を無効化できました。`UserDeactivateView`は、`WgerMultiplePermissionRequiredMixin`によるOR論理で、`gym.manage_gym`、`gym.manage_gyms`、または`gym.gym_trainer`のいずれか1つ以上の権限を持つすべてのユーザーにアクセスを付与し、低権限ロールが高権限ロールを無効化することを防ぐための特権階層チェックを実行していません。この問題はバージョン2.6で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.