CVE-2026-86254

Nome do Software Vulnerável e Versões Afetadas wger versões through master

Description Um bypass de autorização incompleto existe no arquivo wger/core/views/user.py. Três views utilizam comparação de inteiros brutos para verificações de escopo de academia em vez da função auxiliar is same gym(). Isso permite que funcionários de academia que possuam a afiliação gym=None e a permissão gym.manage gym excluam, desativem ou ativem qualquer outro usuário que também possua gym=None. Isso ocorre devido a um erro de lógica no caso limite da comparação None != None.

Recommendations Atualize o wger para uma versão onde o auxiliar is same gym() esteja corretamente implementado em wger/core/views/user.py para substituir as comparações de inteiros brutos.