PT-2026-41137
CVE-2026-43978
·
تاريخ النشر
2026-05-14
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
wger الإصدار 2.5.0a2
الوصف
يسمح خطأ منطقي في عملية التحقق من الأذونات لمدرب صالة رياضية تمت مصادقته بترقية صلاحياته إلى حساب مدير صالة رياضية أو مدير عام. من خلال ربط استدعاءين لنقطة النهاية
trainer-login، يمكن للمدرب أولاً التبديل إلى مستخدم ذي امتيازات منخفضة، مما يؤدي إلى تعيين علامة الجلسة trainer.identity. تتجاوز هذه العلامة لاحقًا فحص الأذونات في الاستدعاءات اللاحقة لنقطة النهاية trainer-login، مما يمكّن المهاجم من الاستيلاء على حسابات ذات امتيازات أعلى. وهذا يسمح بالوصول غير المصرح به إلى بيانات الأعضاء، وتعديل العقود، وإدارة تكوين الصالة الرياضية.التوصيات
تحديث wger إلى إصدار يصحح الخطأ المنطقي في
wger/core/views/user.py لضمان التحقق من أذونات المدرب الأصلي وتطبيق حماية المستخدم المستهدف على محاولات تسجيل الدخول المباشرة والمتسلسلة على حد سواء.كإجراء تخفيفي مؤقت، تقييد الوصول إلى نقطة النهاية
trainer-login على المستخدمين الإداريين الموثوق بهم فقط. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾