CVE-2026-55682
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W WeGIA przed wersją 3.8.6 plik sessionStart.php odzwierciedla atakujący-supplied cookie PHPSESSID w odpowiedzi Set-Cookie i używa DB_HOST jako domeny cookie. Jeśli ofiara uwierzytelnia się używając identyfikatora wybranego przez atakującego, atakujący może go ponownie użyć do przejęcia sesji. Odpowiedź ujawnia również wewnętrzną nazwę hosta bazy danych.
Ocena ryzyka
Możliwe jest przejęcie uwierzytelnionej sesji ofiary, co prowadzi do nieautoryzowanego dostępu do aplikacji. Ujawnienie wewnętrznej nazwy hosta bazy danych ułatwia dalsze ataki.
Rekomendacja
Zaktualizuj WeGIA do wersji 3.8.6 lub nowszej. Unikaj używania DB_HOST jako domeny cookie i nie odzwierciedlaj wartości cookie dostarczonych przez użytkownika.
Inne podatności w WeGIA
Zobacz wszystkie- CVE-2026-23723Wysokie
WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.2 zidentyfikowano uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym Atendido_ocorrenciaControle przez parametr id_memorando. Ta wada pozwala na pełną eksfiltrację bazy danych, ujawnienie wrażliwych danych osobowych (PII) oraz potencjalny odczyt dowolnych plików w źle skonfigurowanych środowiskach. Podatność naprawiona w wersji 3.6.2.
- CVE-2026-55684Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobrancas_geracao.php przyjmuje dane POST przez extract($_REQUEST) i wstawia je bezpośrednio do zapytania INSERT. Parametry numeryczne nie są walidowane ani ujmowane w cudzysłowy, a tekstowe można wykorzystać do wyjścia z kontekstu SQL. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane rozliczeniowe, dane członków, pracowników, uprawnienia i poświadczenia, a także usuwać tabele bazy danych.
- CVE-2026-55683Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobranca.php przyjmuje dane POST przez extract($_REQUEST) i wstawia parametry valor, valor_pago, id_pessoa, id_socio oraz id_sociotipo bezpośrednio do zapytań UPDATE, INSERT i SELECT bez przygotowanych zapytań. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane bazy WeGIA, w tym rekordy rozliczeniowe i poświadczenia. Ten sam dostęp SQL umożliwia usunięcie lub wyczyszczenie tabel, powodując utratę danych aplikacji.
- CVE-2026-55680Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelnione żądania POST do web/html/socio/sistema/cadastro_cobranca.php mogą umieścić w parametrze codigo wyrażenie SQL w cudzysłowach, które extract($_REQUEST) przekazuje do klauzuli WHERE codigo= w zapytaniu UPDATE bez walidacji i parametryzacji. Ujęcie wartości w cudzysłów omija konwersję typu MariaDB dla kolumny VARCHAR i pozwala na wykonanie dowolnego kodu SQL bez sesji. Atakujący może odczytać lub zmodyfikować zawartość bazy, w tym hashe poświadczeń użytkowników i rekordy rozliczeniowe w tabeli cobrancas.
- CVE-2026-54767Krytyczne
W WeGIA (menedżerze web dla instytucji charytatywnych) przed wersją 3.8.5 endpoint deletar_socios.php jest dostępny bez uwierzytelnienia, a parametr chave jest sprawdzany tylko względem wartości zapisanej na stałe w publicznym repozytorium. Atakujący znający tę wartość może wywołać operacje TRUNCATE TABLE na tabelach endereco, pessoafisica, pessoajuridica i socio, trwale niszcząc dane członków i darczyńców.
- CVE-2026-54670Krytyczne
W WeGIA przed wersją 3.8.5 dyspozytor żądań wkładów w web/html/contribuicao/controller/control.php przyjmuje wartości nomeClasse i metodo bez pełnej listy dozwolonych kontrolerów i metod, zwalnia wrażliwe operacje ContribuicaoLogController z uwierzytelniania i buduje ścieżkę include bez kanonicznego ograniczenia katalogu. Nieuwierzytelniony atakujący może wywołać wrażliwe metody, ujawnić dane wkładów i darowizn lub wywołać operacje finansowe, a także dołączyć pliki spoza katalogu kontrolerów.
- CVE-2026-23722Krytyczne
WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.6.2 zawiera podatność na odbity Cross-Site Scripting (XSS) w pliku html/memorando/insere_despacho.php. Aplikacja nie sanitizuje ani nie koduje danych wejściowych użytkownika przekazywanych przez parametr GET id_memorando przed odzwierciedleniem ich w źródle HTML (prawdopodobnie wewnątrz bloku <script> lub atrybutu). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego JavaScriptu lub HTML do kontekstu sesji przeglądarki użytkownika. Podatność naprawiona w wersji 3.6.2.
- CVE-2025-61605Krytyczne
WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /pet/profile_pet.php, w parametrze id_pet, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.
- CVE-2025-61603Krytyczne
WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /controle/control.php, w parametrze descricao, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.
- CVE-2026-55681Wysokie
W WeGIA przed wersją 3.8.6 uwierzytelniony użytkownik z dostępem do modułu Material & Patrimônio może przesłać id_produto do web/html/matPat/restaurar_produto_desocultar.php, gdzie drugie extract($_REQUEST) nadpisuje wartość wcześniej oczyszczoną przez intval(). Surowa wartość jest wstawiana do zapytań UPDATE dla tabel produto, isaida i ientrada, umożliwiając wykonanie dowolnego SQL.
Oryginalny opis (angielski, źródło NVD)
WeGIA is a web manager for charitable institutions. Prior to 3.8.6, the auto-prepended web/html/seguranca/sessionStart.php reflects an attacker-supplied PHPSESSID cookie in a Set-Cookie response and uses DB_HOST as the cookie domain. If a victim authenticates while using the attacker-selected identifier, the attacker can reuse that identifier to hijack the authenticated session. The response also discloses the internal database host name through the cookie Domain attribute, and the vulnerable session handler affects all PHP pages. This issue is fixed in version 3.8.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS