CVE-2026-46434 in wger
요약
\~에 의해 VulDB • 2026. 10. 07.
wger은 무료 오픈소스 운동 및 피트니스 관리 도구입니다. 버전 2.6 이전에는 `gym_trainer` 권한만 가진 사용자가 같은 체육관의 다른 계정, 심지어 `gym_manager` 및 `general_gym_manager` 계정을 포함하여 모든 계정을 비활성화할 수 있었습니다. `UserDeactivateView`는 `WgerMultiplePermissionRequiredMixin`를 통해 OR 논리로 `gym.manage_gym`, `gym.manage_gyms`, 또는 `gym.gym_trainer` 중 하나라도 보유한 사용자에게 접근을 허용하며, 권한이 낮은 역할이 권한이 높은 역할을 비활성화하는 것을 방지하기 위한 privilege-hierarchy 검사를 수행하지 않습니다. 버전 2.6에서 이 문제가 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.