Une vérification de périmètre défectueuse dans cinq vues wger peut exposer à un entraîneur sans salle les notes administratives, documents, contrats et données de configuration ou de permissions d’autres utilisateurs également sans salle. Les versions jusqu’à 2.1 sont indiquées comme affectées; aucun correctif n’est précisé dans la source.
Source : GHSA-c72h-82w6-rqfp — wger: cross-tenant admin notes/contracts leak via gym=None bypass
Analyse technique
Le contrôle compare les salles et laisse passer le cas où elles valent toutes deux None; les requêtes suivantes ne sont pas limitées à la salle de l’utilisateur demandeur.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, limiter l’accès aux vues concernées et vérifier les autorisations de salle.
Sources
Priorisation DFS : P3 · 1 source(s).