CVE-2026-42870
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W WeGIA w wersjach przed 3.7.0 zidentyfikowano podatność Stored Cross-Site Scripting (XSS) w endpoincie funcionario/profile_funcionario.php. Wstrzyknięcie złośliwego ładunku w polu 'Description' (Descrição) i zapisanie profilu powoduje trwałe przechowanie skryptu, który wykonuje się przy każdym dostępie do strony profilu.
Ocena ryzyka
Złośliwy skrypt zapisany w profilu może wykonywać się w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji lub działań w ich imieniu. Ryzyko dotyczy wszystkich użytkowników przeglądających profile.
Rekomendacja
Zaktualizuj WeGIA do wersji 3.7.0 lub nowszej. Do czasu aktualizacji ogranicz możliwość edycji profili i weryfikuj wprowadzane dane.
Inne podatności w WeGIA
Zobacz wszystkie- CVE-2026-23723Wysokie
WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.2 zidentyfikowano uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym Atendido_ocorrenciaControle przez parametr id_memorando. Ta wada pozwala na pełną eksfiltrację bazy danych, ujawnienie wrażliwych danych osobowych (PII) oraz potencjalny odczyt dowolnych plików w źle skonfigurowanych środowiskach. Podatność naprawiona w wersji 3.6.2.
- CVE-2026-55684Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobrancas_geracao.php przyjmuje dane POST przez extract($_REQUEST) i wstawia je bezpośrednio do zapytania INSERT. Parametry numeryczne nie są walidowane ani ujmowane w cudzysłowy, a tekstowe można wykorzystać do wyjścia z kontekstu SQL. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane rozliczeniowe, dane członków, pracowników, uprawnienia i poświadczenia, a także usuwać tabele bazy danych.
- CVE-2026-55683Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobranca.php przyjmuje dane POST przez extract($_REQUEST) i wstawia parametry valor, valor_pago, id_pessoa, id_socio oraz id_sociotipo bezpośrednio do zapytań UPDATE, INSERT i SELECT bez przygotowanych zapytań. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane bazy WeGIA, w tym rekordy rozliczeniowe i poświadczenia. Ten sam dostęp SQL umożliwia usunięcie lub wyczyszczenie tabel, powodując utratę danych aplikacji.
- CVE-2026-55680Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelnione żądania POST do web/html/socio/sistema/cadastro_cobranca.php mogą umieścić w parametrze codigo wyrażenie SQL w cudzysłowach, które extract($_REQUEST) przekazuje do klauzuli WHERE codigo= w zapytaniu UPDATE bez walidacji i parametryzacji. Ujęcie wartości w cudzysłów omija konwersję typu MariaDB dla kolumny VARCHAR i pozwala na wykonanie dowolnego kodu SQL bez sesji. Atakujący może odczytać lub zmodyfikować zawartość bazy, w tym hashe poświadczeń użytkowników i rekordy rozliczeniowe w tabeli cobrancas.
- CVE-2026-54767Krytyczne
W WeGIA (menedżerze web dla instytucji charytatywnych) przed wersją 3.8.5 endpoint deletar_socios.php jest dostępny bez uwierzytelnienia, a parametr chave jest sprawdzany tylko względem wartości zapisanej na stałe w publicznym repozytorium. Atakujący znający tę wartość może wywołać operacje TRUNCATE TABLE na tabelach endereco, pessoafisica, pessoajuridica i socio, trwale niszcząc dane członków i darczyńców.
- CVE-2026-54670Krytyczne
W WeGIA przed wersją 3.8.5 dyspozytor żądań wkładów w web/html/contribuicao/controller/control.php przyjmuje wartości nomeClasse i metodo bez pełnej listy dozwolonych kontrolerów i metod, zwalnia wrażliwe operacje ContribuicaoLogController z uwierzytelniania i buduje ścieżkę include bez kanonicznego ograniczenia katalogu. Nieuwierzytelniony atakujący może wywołać wrażliwe metody, ujawnić dane wkładów i darowizn lub wywołać operacje finansowe, a także dołączyć pliki spoza katalogu kontrolerów.
- CVE-2026-23722Krytyczne
WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.6.2 zawiera podatność na odbity Cross-Site Scripting (XSS) w pliku html/memorando/insere_despacho.php. Aplikacja nie sanitizuje ani nie koduje danych wejściowych użytkownika przekazywanych przez parametr GET id_memorando przed odzwierciedleniem ich w źródle HTML (prawdopodobnie wewnątrz bloku <script> lub atrybutu). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego JavaScriptu lub HTML do kontekstu sesji przeglądarki użytkownika. Podatność naprawiona w wersji 3.6.2.
- CVE-2025-61605Krytyczne
WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /pet/profile_pet.php, w parametrze id_pet, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.
- CVE-2025-61603Krytyczne
WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /controle/control.php, w parametrze descricao, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.
- CVE-2025-58745Krytyczne
WeGIA w wersjach przed 3.4.11 nadal jest podatny na dowolne przesyłanie plików, ponieważ poprawka CVE-2025-22133 była niewystarczająca. Aplikacja sprawdza tylko typ MIME plików Excel w punkcie końcowym /html/socio/sistema/controller/controla_xlsx.php, co można obejść używając magicznych bajtów pliku Excel w pliku PHP, umożliwiając przesłanie webshella i zdalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
WeGIA is a web manager for charitable institutions. In versions prior to 3.7.0, a Stored Cross-Site Scripting (XSS) flaw was identified at the following endpoint: funcionario/profile_funcionario.php?id_funcionario=2. By injecting a malicious payload into the 'Description' (Descrição) field and saving the profile, the script becomes persistently stored. The payload is subsequently executed whenever the profile page is accessed. This vulnerability is fixed in 3.7.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS