CVE-2026-46434
Açıklama
wger; ücretsiz ve açık kaynaklı bir antrenman ve fitness yöneticisidir. Versiyon 2.6 öncesinde, yalnızca `gym_trainer` yetkisine sahip bir kullanıcı, `gym_manager` ve `general_gym_manager` hesapları da dahil olmak üzere aynı spor salonundaki herhangi bir hesabı devre dışı bırakabilir. `UserDeactivateView`, `gym.manage_gym`, `gym.manage_gyms` veya `gym.gym_trainer` yetkilerinden herhangi birine sahip olan herkese erişim izni verir (`WgerMultiplePermissionRequiredMixin` aracılığıyla VEYA mantığı ile) ve daha düşük yetkili bir rolün daha yüksek yetkili bir rolü devre dışı bırakmasını önlemek için herhangi bir ayrıcalık hiyerarşisi kontrolü gerçekleştirmez. Versiyon 2.6 bu sorunu düzeltmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wgerPyPI | v ≤ 2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.