wger is a free, open-source workout and fitness manager. In versions up to and including 2.4, `RepetitionsConfigViewSet` and `MaxRepetitionsConfigViewSet` return all users' repetition config data because their `get_queryset()` calls `.all()` instead of filtering by the authenticated user. Any registered user can enumerate every other user's workout structure. Commit 1fda5690b35706bb137850c8a084ec6a13317b64 contains a fix for the issue.
wger fitness manager versions up to 2.4 expose all users' repetition configuration data due to improper queryset filtering in API endpoints. Any registered user can enumerate other users' complete workout structures, compromising privacy.
يفشل تطبيق wger في تصفية بيانات التكوين بناءً على المستخدم المصرح، مما يسمح لأي مستخدم مسجل بالوصول إلى معلومات التمارين الكاملة لجميع المستخدمين الآخرين. هذا ينتهك خصوصية المستخدم ويكشف أنماط التدريب والبيانات الشخصية.
تطبيق wger لإدارة اللياقة البدنية في الإصدارات حتى 2.4 يكشف بيانات تكوين التكرارات لجميع المستخدمين بسبب فشل في تصفية استعلامات قاعدة البيانات. أي مستخدم مسجل يمكنه الوصول إلى هياكل التمارين الكاملة للمستخدمين الآخرين.
Upgrade wger to version 2.5 or later which includes commit 1fda5690b35706bb137850c8a084ec6a13317b64. Implement proper queryset filtering in RepetitionsConfigViewSet and MaxRepetitionsConfigViewSet to return only authenticated user data. Apply access control reviews to all API endpoints returning user-specific data.
قم بترقية wger إلى الإصدار 2.5 أو أحدث الذي يتضمن الإصلاح. طبق تصفية استعلامات صحيحة في RepetitionsConfigViewSet و MaxRepetitionsConfigViewSet لإرجاع بيانات المستخدم المصرح فقط. راجع التحكم في الوصول لجميع نقاط نهاية API التي تعيد بيانات خاصة بالمستخدم.