CVE-2026-46434 in wger
Sumário
de VulDB • 07/10/2026
wger é um gerenciador de treinos e fitness gratuito e open-source. Antes da versão 2.6, um usuário com apenas a permissão `gym_trainer` pode desativar qualquer conta na mesma academia, incluindo contas de `gym_manager` e `general_gym_manager`. A visualização `UserDeactivateView` concede acesso a qualquer pessoa que possua uma das seguintes permissões: `gym.manage_gym`, `gym.manage_gyms` ou `gym.gym_trainer` (lógica OR via `WgerMultiplePermissionRequiredMixin`) e não realiza nenhuma verificação de hierarquia de privilégios para impedir que um papel com menor privilégio desative outro com maior privilégio. A versão 2.6 corrige o problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.