CVE-2026-31896
KrytyczneStreszczenie
WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.6 występuje krytyczna podatność na wstrzykiwanie SQL w aplikacji WeGIA, która pozwala uwierzytelnionemu atakującemu na wykonywanie dowolnych poleceń SQL.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych w bazie danych lub spowodować opóźnienia czasowe, co prowadzi do odmowy usługi. To stanowi poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację aplikacji WeGIA do wersji 3.6.6 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
WeGIA is a web manager for charitable institutions. Prior to version 3.6.6, a critical SQL injection vulnerability exists in the WeGIA application. The remover_produto_ocultar.php script uses extract($_REQUEST) to populate local variables and then directly concatenates these variables into a SQL query executed via PDO::query. This allows an authenticated (or auth-bypassed) attacker to execute arbitrary SQL commands. This can be used to exfiltrate sensitive data from the database or, as demonstrated in this PoC, cause a time-based delay (denial of service). This vulnerability is fixed in 3.6.6.