CVE-2026-35474
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie. Parametr 'redirect' jest pobierany bezpośrednio z $_GET bez walidacji URL, a następnie używany w nagłówku Location, co pozwala na przekierowanie użytkowników na dowolne zewnętrzne strony.
Ocena ryzyka
Atakujący mogą wykorzystać zaufaną domenę WeGIA do phishingu, kradzieży danych uwierzytelniających lub dystrybucji złośliwego oprogramowania.
Rekomendacja
Zaktualizuj WeGIA do wersji 3.6.9 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
WeGIA is a Web manager for charitable institutions. Prior to 3.6.9, open redirect has been found in WeGIA webapp. The redirect parameter is taken directly from $_GET with no URL validation or whitelist check, then used verbatim in a header("Location: ...") call. This vulnerability is fixed in 3.6.9.