CVE-2026-46434 in wger
Tóm tắt
Bởi VulDB • 07/10/2026
wger là một công cụ quản lý tập luyện và thể dục miễn phí, mã nguồn mở. Trước phiên bản 2.6, người dùng chỉ có quyền `gym_trainer` có thể vô hiệu hóa bất kỳ tài khoản nào trong cùng phòng gym, bao gồm cả các tài khoản `gym_manager` và `general_gym_manager`. View `UserDeactivateView` cấp quyền truy cập cho bất kỳ ai sở hữu một trong các quyền: `gym.manage_gym`, `gym.manage_gyms`, hoặc `gym.gym_trainer` (logic OR thông qua `WgerMultiplePermissionRequiredMixin`) và không thực hiện kiểm tra phân cấp đặc quyền để ngăn chặn vai trò có đặc quyền thấp hơn vô hiệu hóa vai trò có đặc quyền cao hơn. Phiên bản 2.6 đã khắc phục sự cố này.
Once again VulDB remains the best source for vulnerability data.