CVE-2026-55681
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W WeGIA przed wersją 3.8.6 uwierzytelniony użytkownik z dostępem do modułu Material & Patrimônio może przesłać id_produto do web/html/matPat/restaurar_produto_desocultar.php, gdzie drugie extract($_REQUEST) nadpisuje wartość wcześniej oczyszczoną przez intval(). Surowa wartość jest wstawiana do zapytań UPDATE dla tabel produto, isaida i ientrada, umożliwiając wykonanie dowolnego SQL.
Ocena ryzyka
Atakujący może wykonać dowolne zapytania SQL, aby wyodrębnić poufne dane z bazy lub zmodyfikować dane instytucji i inwentarza. Wymaga to uwierzytelnienia w module Material & Patrimônio.
Rekomendacja
Zaktualizuj WeGIA do wersji 3.8.6 lub nowszej. Upewnij się, że dane wejściowe są prawidłowo oczyszczane i nie są nadpisywane przez extract().
Inne podatności w WeGIA
Zobacz wszystkie- CVE-2026-23723Wysokie
WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.2 zidentyfikowano uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym Atendido_ocorrenciaControle przez parametr id_memorando. Ta wada pozwala na pełną eksfiltrację bazy danych, ujawnienie wrażliwych danych osobowych (PII) oraz potencjalny odczyt dowolnych plików w źle skonfigurowanych środowiskach. Podatność naprawiona w wersji 3.6.2.
- CVE-2026-55684Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobrancas_geracao.php przyjmuje dane POST przez extract($_REQUEST) i wstawia je bezpośrednio do zapytania INSERT. Parametry numeryczne nie są walidowane ani ujmowane w cudzysłowy, a tekstowe można wykorzystać do wyjścia z kontekstu SQL. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane rozliczeniowe, dane członków, pracowników, uprawnienia i poświadczenia, a także usuwać tabele bazy danych.
- CVE-2026-55683Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobranca.php przyjmuje dane POST przez extract($_REQUEST) i wstawia parametry valor, valor_pago, id_pessoa, id_socio oraz id_sociotipo bezpośrednio do zapytań UPDATE, INSERT i SELECT bez przygotowanych zapytań. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane bazy WeGIA, w tym rekordy rozliczeniowe i poświadczenia. Ten sam dostęp SQL umożliwia usunięcie lub wyczyszczenie tabel, powodując utratę danych aplikacji.
- CVE-2026-55680Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelnione żądania POST do web/html/socio/sistema/cadastro_cobranca.php mogą umieścić w parametrze codigo wyrażenie SQL w cudzysłowach, które extract($_REQUEST) przekazuje do klauzuli WHERE codigo= w zapytaniu UPDATE bez walidacji i parametryzacji. Ujęcie wartości w cudzysłów omija konwersję typu MariaDB dla kolumny VARCHAR i pozwala na wykonanie dowolnego kodu SQL bez sesji. Atakujący może odczytać lub zmodyfikować zawartość bazy, w tym hashe poświadczeń użytkowników i rekordy rozliczeniowe w tabeli cobrancas.
- CVE-2026-54767Krytyczne
W WeGIA (menedżerze web dla instytucji charytatywnych) przed wersją 3.8.5 endpoint deletar_socios.php jest dostępny bez uwierzytelnienia, a parametr chave jest sprawdzany tylko względem wartości zapisanej na stałe w publicznym repozytorium. Atakujący znający tę wartość może wywołać operacje TRUNCATE TABLE na tabelach endereco, pessoafisica, pessoajuridica i socio, trwale niszcząc dane członków i darczyńców.
- CVE-2026-54670Krytyczne
W WeGIA przed wersją 3.8.5 dyspozytor żądań wkładów w web/html/contribuicao/controller/control.php przyjmuje wartości nomeClasse i metodo bez pełnej listy dozwolonych kontrolerów i metod, zwalnia wrażliwe operacje ContribuicaoLogController z uwierzytelniania i buduje ścieżkę include bez kanonicznego ograniczenia katalogu. Nieuwierzytelniony atakujący może wywołać wrażliwe metody, ujawnić dane wkładów i darowizn lub wywołać operacje finansowe, a także dołączyć pliki spoza katalogu kontrolerów.
- CVE-2026-23722Krytyczne
WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.6.2 zawiera podatność na odbity Cross-Site Scripting (XSS) w pliku html/memorando/insere_despacho.php. Aplikacja nie sanitizuje ani nie koduje danych wejściowych użytkownika przekazywanych przez parametr GET id_memorando przed odzwierciedleniem ich w źródle HTML (prawdopodobnie wewnątrz bloku <script> lub atrybutu). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego JavaScriptu lub HTML do kontekstu sesji przeglądarki użytkownika. Podatność naprawiona w wersji 3.6.2.
- CVE-2025-61605Krytyczne
WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /pet/profile_pet.php, w parametrze id_pet, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.
- CVE-2025-61603Krytyczne
WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /controle/control.php, w parametrze descricao, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.
- CVE-2026-55682Wysokie
W WeGIA przed wersją 3.8.6 plik sessionStart.php odzwierciedla atakujący-supplied cookie PHPSESSID w odpowiedzi Set-Cookie i używa DB_HOST jako domeny cookie. Jeśli ofiara uwierzytelnia się używając identyfikatora wybranego przez atakującego, atakujący może go ponownie użyć do przejęcia sesji. Odpowiedź ujawnia również wewnętrzną nazwę hosta bazy danych.
Oryginalny opis (angielski, źródło NVD)
WeGIA is a web manager for charitable institutions. Prior to 3.8.6, an authenticated user with access to the Material & Patrimônio module can submit id_produto to web/html/matPat/restaurar_produto_desocultar.php, where a second extract($_REQUEST) overwrites the value previously sanitized by intval(). The raw value is interpolated into UPDATE statements for the produto, isaida, and ientrada tables. An attacker can execute arbitrary SQL to extract sensitive database records or modify institutional and inventory data. This issue is fixed in version 3.8.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS