CVE-2026-31896
CriticalSummary
WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.6 występuje krytyczna podatność na wstrzykiwanie SQL w aplikacji WeGIA, która pozwala uwierzytelnionemu atakującemu na wykonywanie dowolnych poleceń SQL.
Risk Assessment
Atakujący może uzyskać dostęp do wrażliwych danych w bazie danych lub spowodować opóźnienia czasowe, co prowadzi do odmowy usługi. To stanowi poważne zagrożenie dla bezpieczeństwa danych organizacji.
Recommendation
Zaleca się aktualizację aplikacji WeGIA do wersji 3.6.6 lub nowszej, aby usunąć tę podatność.
Original NVD description (English source)
WeGIA is a web manager for charitable institutions. Prior to version 3.6.6, a critical SQL injection vulnerability exists in the WeGIA application. The remover_produto_ocultar.php script uses extract($_REQUEST) to populate local variables and then directly concatenates these variables into a SQL query executed via PDO::query. This allows an authenticated (or auth-bypassed) attacker to execute arbitrary SQL commands. This can be used to exfiltrate sensitive data from the database or, as demonstrated in this PoC, cause a time-based delay (denial of service). This vulnerability is fixed in 3.6.6.