30秒で判断
- 対応すべき人: wger（フィットネス管理アプリ）を複数拠点・複数権限レベルで運用している人
- 対応不要な人: wgerを利用していない、またはトレーナー権限とマネージャー権限を分けて運用していない人
- 確認コマンド: wgerのバージョン情報、またはトレーナーログイン機能の利用有無を確認
概要
wgerのトレーナー用ログイン（trainer-login）のセッションの扱いに不備があり、セッションを連鎖させることで、ジムのトレーナー権限からマネージャー権限へ昇格できる状態が確認されました。
CVSSベクトル
| 項目 | 値 |
|---|---|
| 深刻度 | High |
| スコア | 7.5相当（GHSA severity: HIGH） |
※ GHSAでは詳細なCVSSベクトル文字列は公開されていません。
影響を受けるソフトウェア
| 製品 | エコシステム | 影響バージョン |
|---|---|---|
| wger | PyPI | 修正バージョン未公開 |
修正バージョンと回避策
- 本日時点（2026年11月7日）で修正バージョンは公開されていません。
- 回避策として、トレーナー用ログイン機能を一時的に制限する、またはトレーナーのセッションとマネージャーのセッションが同一ブラウザ内で混在しないよう運用上の注意を行うことを検討してください。
- 修正バージョンが公開され次第、優先的にアップデートすることを推奨します。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。