CVE-2026-46434
Təsvir
wger pulsuz və açıq mənbəli məşq və fitnes meneceridir. Versiya 2.6-ya qədər, yalnız `gym_trainer` icazəsinə malik olan istifadəçi eyni idman zalındakı hər hansı hesabı, o cümlədən `gym_manager` və `general_gym_manager` hesablarını deaktiv edə bilirdi. `UserDeactivateView` funksiyası `gym.manage_gym`, `gym.manage_gyms` və ya `gym.gym_trainer` icazələrindən hər hansı birinə sahib olan hər kəsə giriş imkanı verir (`WgerMultiplePermissionRequiredMixin` vasitəsilə OR məntiqi ilə) və aşağı səviyyəli rolun daha yüksək səviyyəli rolu deaktiv etməsinin qarşısını almaq üçün heç bir imtiyaz iyerarxiyası yoxlaması aparmır. Versiya 2.6 bu problemi aradan qaldırır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wgerPyPI | v ≤ 2.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.