CVE-2025-61605

WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.2 zidentyfikowano uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym Atendido_ocorrenciaControle przez parametr id_memorando. Ta wada pozwala na pełną eksfiltrację bazy danych, ujawnienie wrażliwych danych osobowych (PII) oraz potencjalny odczyt dowolnych plików w źle skonfigurowanych środowiskach. Podatność naprawiona w wersji 3.6.2.

W WeGIA (menedżerze web dla instytucji charytatywnych) przed wersją 3.8.5 endpoint deletar_socios.php jest dostępny bez uwierzytelnienia, a parametr chave jest sprawdzany tylko względem wartości zapisanej na stałe w publicznym repozytorium. Atakujący znający tę wartość może wywołać operacje TRUNCATE TABLE na tabelach endereco, pessoafisica, pessoajuridica i socio, trwale niszcząc dane członków i darczyńców.

W WeGIA przed wersją 3.8.5 dyspozytor żądań wkładów w web/html/contribuicao/controller/control.php przyjmuje wartości nomeClasse i metodo bez pełnej listy dozwolonych kontrolerów i metod, zwalnia wrażliwe operacje ContribuicaoLogController z uwierzytelniania i buduje ścieżkę include bez kanonicznego ograniczenia katalogu. Nieuwierzytelniony atakujący może wywołać wrażliwe metody, ujawnić dane wkładów i darowizn lub wywołać operacje finansowe, a także dołączyć pliki spoza katalogu kontrolerów.

WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.6.2 zawiera podatność na odbity Cross-Site Scripting (XSS) w pliku html/memorando/insere_despacho.php. Aplikacja nie sanitizuje ani nie koduje danych wejściowych użytkownika przekazywanych przez parametr GET id_memorando przed odzwierciedleniem ich w źródle HTML (prawdopodobnie wewnątrz bloku <script> lub atrybutu). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego JavaScriptu lub HTML do kontekstu sesji przeglądarki użytkownika. Podatność naprawiona w wersji 3.6.2.

WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /controle/control.php, w parametrze descricao, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.

WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.8.5 mapuje InternoControle na pustą tablicę zasobów w web/controle/control.php, a verificarPermissao w web/dao/MiddlewareDAO.php traktuje tę pustą tablicę jako bezwarunkowy dostęp dla każdego uwierzytelnionego użytkownika. Metody w web/controle/InternoControle.php, w tym listarUm, alterar i excluir, akceptują kontrolowane przez użytkownika wartości id lub idInterno bez weryfikacji własności, co pozwala użytkownikowi z niskimi uprawnieniami na odczyt, modyfikację lub usunięcie rekordów innych osób oraz ujawnienie danych osobowych, tożsamości, adresów, medycznych i rodzinnych. Problem został naprawiony w wersji 3.8.5.

W systemie WeGIA przed wersją 3.9.2 wykryto podatność typu Insecure Direct Object Reference (IDOR) na stronie profilu pracownika. Uwierzytelniony atakujący może uzyskać dostęp do dowolnych rekordów pracowników, wstrzykując parametr id_pessoa, który nadpisuje identyfikator z sesji. Możliwe jest wyliczenie wszystkich identyfikatorów i pobranie pełnych danych profilowych, w tym imienia, CPF, adresu, danych kontaktowych i flag administracyjnych.

WeGIA przed wersją 3.9.2 zawiera podatność na obejście autoryzacji w procesie zmiany hasła, która umożliwia każdemu uwierzytelnionemu użytkownikowi zmianę hasła swojego konta bez podawania istniejących poświadczeń, wykorzystując bezwarunkowe wykluczenie metody alterarSenha z kontroli uprawnień w controle/control.php. Atakujący mogą manipulować parametrem redir, aby wskazywał na alterar_senha.php, kierując przez verificarSenhaConfig() zamiast verificarSenha(), aby ominąć weryfikację bieżącego hasła i przekształcić tymczasowy dostęp sesji w trwałe przejęcie konta.

WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie. Parametr 'redirect' pobierany z żądania GET nie jest walidowany ani sprawdzany na białej liście, a następnie używany bezpośrednio w nagłówku Location. Atakujący może przekierować użytkownika na złośliwą stronę.

WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie. Parametr 'redirect' jest pobierany bezpośrednio z $_GET bez walidacji URL, a następnie używany w nagłówku Location, co pozwala na przekierowanie użytkowników na dowolne zewnętrzne strony.