CVE-2026-35475
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie. Parametr 'redirect' pobierany z żądania GET nie jest walidowany ani sprawdzany na białej liście, a następnie używany bezpośrednio w nagłówku Location. Atakujący może przekierować użytkownika na złośliwą stronę.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku phishingowego lub socjotechnicznego poprzez przekierowanie użytkownika na niebezpieczną witrynę.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 3.6.9, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
WeGIA is a Web manager for charitable institutions. Prior to 3.6.9, the redirect parameter is taken directly from $_GET with no URL validation or whitelist check, then used verbatim in a header("Location: ...") call. This vulnerability is fixed in 3.6.9.