CVE-2026-76634
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W systemie WeGIA przed wersją 3.9.2 wykryto podatność typu Insecure Direct Object Reference (IDOR) na stronie profilu pracownika. Uwierzytelniony atakujący może uzyskać dostęp do dowolnych rekordów pracowników, wstrzykując parametr id_pessoa, który nadpisuje identyfikator z sesji. Możliwe jest wyliczenie wszystkich identyfikatorów i pobranie pełnych danych profilowych, w tym imienia, CPF, adresu, danych kontaktowych i flag administracyjnych.
Ocena ryzyka
Podatność umożliwia nieautoryzowany dostęp do danych osobowych pracowników, co narusza poufność i może prowadzić do kradzieży tożsamości lub naruszenia przepisów o ochronie danych. Atak wymaga jedynie uwierzytelnionego konta.
Rekomendacja
Zaleca się natychmiastową aktualizację WeGIA do wersji 3.9.2 lub nowszej. Należy również wdrożyć kontrolę dostępu opartą na sesji i nie ufać parametrom pochodzącym od użytkownika.
Inne podatności w WeGIA
Zobacz wszystkie- CVE-2026-23723Wysokie
WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.2 zidentyfikowano uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym Atendido_ocorrenciaControle przez parametr id_memorando. Ta wada pozwala na pełną eksfiltrację bazy danych, ujawnienie wrażliwych danych osobowych (PII) oraz potencjalny odczyt dowolnych plików w źle skonfigurowanych środowiskach. Podatność naprawiona w wersji 3.6.2.
- CVE-2026-54767Krytyczne
W WeGIA (menedżerze web dla instytucji charytatywnych) przed wersją 3.8.5 endpoint deletar_socios.php jest dostępny bez uwierzytelnienia, a parametr chave jest sprawdzany tylko względem wartości zapisanej na stałe w publicznym repozytorium. Atakujący znający tę wartość może wywołać operacje TRUNCATE TABLE na tabelach endereco, pessoafisica, pessoajuridica i socio, trwale niszcząc dane członków i darczyńców.
- CVE-2026-54670Krytyczne
W WeGIA przed wersją 3.8.5 dyspozytor żądań wkładów w web/html/contribuicao/controller/control.php przyjmuje wartości nomeClasse i metodo bez pełnej listy dozwolonych kontrolerów i metod, zwalnia wrażliwe operacje ContribuicaoLogController z uwierzytelniania i buduje ścieżkę include bez kanonicznego ograniczenia katalogu. Nieuwierzytelniony atakujący może wywołać wrażliwe metody, ujawnić dane wkładów i darowizn lub wywołać operacje finansowe, a także dołączyć pliki spoza katalogu kontrolerów.
- CVE-2026-23722Krytyczne
WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.6.2 zawiera podatność na odbity Cross-Site Scripting (XSS) w pliku html/memorando/insere_despacho.php. Aplikacja nie sanitizuje ani nie koduje danych wejściowych użytkownika przekazywanych przez parametr GET id_memorando przed odzwierciedleniem ich w źródle HTML (prawdopodobnie wewnątrz bloku <script> lub atrybutu). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego JavaScriptu lub HTML do kontekstu sesji przeglądarki użytkownika. Podatność naprawiona w wersji 3.6.2.
- CVE-2025-61605Krytyczne
WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /pet/profile_pet.php, w parametrze id_pet, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.
- CVE-2025-61603Krytyczne
WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /controle/control.php, w parametrze descricao, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.
- CVE-2026-54671Wysokie
WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.8.5 mapuje InternoControle na pustą tablicę zasobów w web/controle/control.php, a verificarPermissao w web/dao/MiddlewareDAO.php traktuje tę pustą tablicę jako bezwarunkowy dostęp dla każdego uwierzytelnionego użytkownika. Metody w web/controle/InternoControle.php, w tym listarUm, alterar i excluir, akceptują kontrolowane przez użytkownika wartości id lub idInterno bez weryfikacji własności, co pozwala użytkownikowi z niskimi uprawnieniami na odczyt, modyfikację lub usunięcie rekordów innych osób oraz ujawnienie danych osobowych, tożsamości, adresów, medycznych i rodzinnych. Problem został naprawiony w wersji 3.8.5.
- CVE-2026-76633Wysokie
WeGIA przed wersją 3.9.2 zawiera podatność na obejście autoryzacji w procesie zmiany hasła, która umożliwia każdemu uwierzytelnionemu użytkownikowi zmianę hasła swojego konta bez podawania istniejących poświadczeń, wykorzystując bezwarunkowe wykluczenie metody alterarSenha z kontroli uprawnień w controle/control.php. Atakujący mogą manipulować parametrem redir, aby wskazywał na alterar_senha.php, kierując przez verificarSenhaConfig() zamiast verificarSenha(), aby ominąć weryfikację bieżącego hasła i przekształcić tymczasowy dostęp sesji w trwałe przejęcie konta.
- CVE-2026-35475Średnie
WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie. Parametr 'redirect' pobierany z żądania GET nie jest walidowany ani sprawdzany na białej liście, a następnie używany bezpośrednio w nagłówku Location. Atakujący może przekierować użytkownika na złośliwą stronę.
- CVE-2026-35474Średnie
WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie. Parametr 'redirect' jest pobierany bezpośrednio z $_GET bez walidacji URL, a następnie używany w nagłówku Location, co pozwala na przekierowanie użytkowników na dowolne zewnętrzne strony.
Oryginalny opis (angielski, źródło NVD)
WeGIA before 3.9.2 contains an insecure direct object reference vulnerability in the employee profile page that allows authenticated attackers to access arbitrary employee records by injecting an id_pessoa parameter through a request extraction function that overwrites the session-derived identifier. Attackers can enumerate all user identifiers to retrieve full profile data for any employee account, including name, CPF, address, contact details, and administrative flags.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS