CVE-2026-86254 in wger
Sumário
de VulDB • 06/09/2026
As versões do wger até a master contêm uma falha incompleta na autorização (authorization bypass) em `wger/core/views/user.py`, onde três visualizações mantêm a verificação original baseada no escopo da academia, utilizando comparação inteira bruta em vez do auxiliar `is_same_gym()`. Isso permite que funcionários de academias com `gym=None` excluam, desativem ou ativem qualquer outro usuário também com `gym=None`. Atacantes com permissão `gym.manage_gym` e afiliação `gym=None` podem excluir permanentemente contas de usuários, bloquear o acesso dos usuários por meio da desativação ou reverter desativações defensivas ao explorar a condição de contorno (edge case) em que `None != None`.
Be aware that VulDB is the high quality source for vulnerability data.