Podatności WeGIA

WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.2 zidentyfikowano uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym Atendido_ocorrenciaControle przez parametr id_memorando. Ta wada pozwala na pełną eksfiltrację bazy danych, ujawnienie wrażliwych danych osobowych (PII) oraz potencjalny odczyt dowolnych plików w źle skonfigurowanych środowiskach. Podatność naprawiona w wersji 3.6.2.

W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobrancas_geracao.php przyjmuje dane POST przez extract($_REQUEST) i wstawia je bezpośrednio do zapytania INSERT. Parametry numeryczne nie są walidowane ani ujmowane w cudzysłowy, a tekstowe można wykorzystać do wyjścia z kontekstu SQL. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane rozliczeniowe, dane członków, pracowników, uprawnienia i poświadczenia, a także usuwać tabele bazy danych.

W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobranca.php przyjmuje dane POST przez extract($_REQUEST) i wstawia parametry valor, valor_pago, id_pessoa, id_socio oraz id_sociotipo bezpośrednio do zapytań UPDATE, INSERT i SELECT bez przygotowanych zapytań. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane bazy WeGIA, w tym rekordy rozliczeniowe i poświadczenia. Ten sam dostęp SQL umożliwia usunięcie lub wyczyszczenie tabel, powodując utratę danych aplikacji.

W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelnione żądania POST do web/html/socio/sistema/cadastro_cobranca.php mogą umieścić w parametrze codigo wyrażenie SQL w cudzysłowach, które extract($_REQUEST) przekazuje do klauzuli WHERE codigo= w zapytaniu UPDATE bez walidacji i parametryzacji. Ujęcie wartości w cudzysłów omija konwersję typu MariaDB dla kolumny VARCHAR i pozwala na wykonanie dowolnego kodu SQL bez sesji. Atakujący może odczytać lub zmodyfikować zawartość bazy, w tym hashe poświadczeń użytkowników i rekordy rozliczeniowe w tabeli cobrancas.

W WeGIA (menedżerze web dla instytucji charytatywnych) przed wersją 3.8.5 endpoint deletar_socios.php jest dostępny bez uwierzytelnienia, a parametr chave jest sprawdzany tylko względem wartości zapisanej na stałe w publicznym repozytorium. Atakujący znający tę wartość może wywołać operacje TRUNCATE TABLE na tabelach endereco, pessoafisica, pessoajuridica i socio, trwale niszcząc dane członków i darczyńców.

W WeGIA przed wersją 3.8.5 dyspozytor żądań wkładów w web/html/contribuicao/controller/control.php przyjmuje wartości nomeClasse i metodo bez pełnej listy dozwolonych kontrolerów i metod, zwalnia wrażliwe operacje ContribuicaoLogController z uwierzytelniania i buduje ścieżkę include bez kanonicznego ograniczenia katalogu. Nieuwierzytelniony atakujący może wywołać wrażliwe metody, ujawnić dane wkładów i darowizn lub wywołać operacje finansowe, a także dołączyć pliki spoza katalogu kontrolerów.

WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.6.2 zawiera podatność na odbity Cross-Site Scripting (XSS) w pliku html/memorando/insere_despacho.php. Aplikacja nie sanitizuje ani nie koduje danych wejściowych użytkownika przekazywanych przez parametr GET id_memorando przed odzwierciedleniem ich w źródle HTML (prawdopodobnie wewnątrz bloku <script> lub atrybutu). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego JavaScriptu lub HTML do kontekstu sesji przeglądarki użytkownika. Podatność naprawiona w wersji 3.6.2.

WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /pet/profile_pet.php, w parametrze id_pet, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.

WeGIA w wersjach 3.4.12 i niższych zawiera podatność na wstrzykiwanie SQL w punkcie /controle/control.php, w parametrze descricao, co pozwala atakującemu wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych. Problem naprawiono w wersji 3.5.0.

WeGIA w wersjach przed 3.4.11 nadal jest podatny na dowolne przesyłanie plików, ponieważ poprawka CVE-2025-22133 była niewystarczająca. Aplikacja sprawdza tylko typ MIME plików Excel w punkcie końcowym /html/socio/sistema/controller/controla_xlsx.php, co można obejść używając magicznych bajtów pliku Excel w pliku PHP, umożliwiając przesłanie webshella i zdalne wykonanie kodu.

WeGIA w wersjach przed 3.4.11 ma podatność na zdalne wykonanie kodu wynikającą z niewłaściwej walidacji przesyłanych plików. Aplikacja pozwala na przesłanie plików z dowolnymi nazwami, w tym z rozszerzeniem .php, które są zapisywane bezpośrednio na dysku bez odpowiedniej sanityzacji, co umożliwia wykonanie kodu PHP na serwerze.

W WeGIA przed wersją 3.8.7 występuje podatność stored cross-site scripting w pliku saude/historico_prontuarios.php, ponieważ pole textoProntuario przyjmuje dowolny HTML lub JavaScript bez odpowiedniej sanityzacji. Złośliwa zawartość jest przechowywana i wykonywana w przeglądarce innego użytkownika podczas przeglądania historii dokumentacji medycznej pacjenta.

W WeGIA przed wersją 3.8.7 występuje podatność stored DOM cross-site scripting w pliku web/html/memorando/listar_despachos.php wynikająca z niebezpiecznej obsługi pola texto. FILTER_SANITIZE_SPECIAL_CHARS jest stosowany podczas zapisu, ale html_entity_decode() później dekoduje zawartość, a jQuery .html() wstawia wynik do DOM.

W aplikacji WeGIA przed wersją 3.8.7 endpoint /controle/control.php przyjmuje kontrolowane przez atakującego parametry nomeClasse, metodo oraz identyfikatory rekordów przez extract($_REQUEST), a metody CRUD w klasach Controle nie weryfikują własności rekordów. Uwierzytelniony użytkownik może przeglądać, modyfikować lub usuwać rekordy innych użytkowników, ujawniając dane CPF, RG, adresy, dokumentację medyczną, dane finansowe i akta pracownicze. Dodatkowo AtendidoControle i InternoControle nie mają walidacji CSRF.

W WeGIA przed wersją 3.8.6 plik sessionStart.php odzwierciedla atakujący-supplied cookie PHPSESSID w odpowiedzi Set-Cookie i używa DB_HOST jako domeny cookie. Jeśli ofiara uwierzytelnia się używając identyfikatora wybranego przez atakującego, atakujący może go ponownie użyć do przejęcia sesji. Odpowiedź ujawnia również wewnętrzną nazwę hosta bazy danych.

W WeGIA przed wersją 3.8.6 uwierzytelniony użytkownik z dostępem do modułu Material & Patrimônio może przesłać id_produto do web/html/matPat/restaurar_produto_desocultar.php, gdzie drugie extract($_REQUEST) nadpisuje wartość wcześniej oczyszczoną przez intval(). Surowa wartość jest wstawiana do zapytań UPDATE dla tabel produto, isaida i ientrada, umożliwiając wykonanie dowolnego SQL.

W WeGIA przed wersją 3.8.6 endpoint instalatora web/instalador/instalador.php jest dostępny przed utworzeniem config.php i przetwarza nieuwierzytelnione dane instalacyjne POST. W przepływie reinstalacji na Linuksie spreparowana wartość usuario trafia do polecenia wykonywanego przez shell_exec(), a instalator zapisuje kontrolowane przez atakującego wartości do wykonywalnego config.php oraz wstawia nazwę bazy nomebd do instrukcji CREATE DATABASE.

WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.8.5 mapuje InternoControle na pustą tablicę zasobów w web/controle/control.php, a verificarPermissao w web/dao/MiddlewareDAO.php traktuje tę pustą tablicę jako bezwarunkowy dostęp dla każdego uwierzytelnionego użytkownika. Metody w web/controle/InternoControle.php, w tym listarUm, alterar i excluir, akceptują kontrolowane przez użytkownika wartości id lub idInterno bez weryfikacji własności, co pozwala użytkownikowi z niskimi uprawnieniami na odczyt, modyfikację lub usunięcie rekordów innych osób oraz ujawnienie danych osobowych, tożsamości, adresów, medycznych i rodzinnych. Problem został naprawiony w wersji 3.8.5.

W systemie WeGIA przed wersją 3.9.2 wykryto podatność typu Insecure Direct Object Reference (IDOR) na stronie profilu pracownika. Uwierzytelniony atakujący może uzyskać dostęp do dowolnych rekordów pracowników, wstrzykując parametr id_pessoa, który nadpisuje identyfikator z sesji. Możliwe jest wyliczenie wszystkich identyfikatorów i pobranie pełnych danych profilowych, w tym imienia, CPF, adresu, danych kontaktowych i flag administracyjnych.

WeGIA przed wersją 3.9.2 zawiera podatność na obejście autoryzacji w procesie zmiany hasła, która umożliwia każdemu uwierzytelnionemu użytkownikowi zmianę hasła swojego konta bez podawania istniejących poświadczeń, wykorzystując bezwarunkowe wykluczenie metody alterarSenha z kontroli uprawnień w controle/control.php. Atakujący mogą manipulować parametrem redir, aby wskazywał na alterar_senha.php, kierując przez verificarSenhaConfig() zamiast verificarSenha(), aby ominąć weryfikację bieżącego hasła i przekształcić tymczasowy dostęp sesji w trwałe przejęcie konta.

W WeGIA przed wersją 3.7.3 zidentyfikowano podatność Open Redirect w punkcie końcowym /WeGIA/controle/control.php, poprzez parametr nextPage w połączeniu z metodo=listarTodos i nomeClasse=InternoControle. Aplikacja nie waliduje ani nie ogranicza parametru nextPage, umożliwiając przekierowanie użytkowników na dowolne zewnętrzne witryny. Podatność naprawiono w wersji 3.7.3.

W WeGIA w wersjach przed 3.7.3 plik html/login.php hashuje przesłane hasło funkcją hash() PHP z algorytmem SHA-256 bez soli przed porównaniem z przechowywaną wartością. Proces zmiany hasła w controle/FuncionarioControle.php działa w ten sam sposób. SHA-256 to ogólnego przeznaczenia hash kryptograficzny zoptymalizowany pod kątem szybkości, a nie przechowywania haseł; bez soli identyczne hasła dają identyczne skróty, co naraża całą bazę skrótów na pojedyncze wyszukanie w gotowej tablicy tęczowej. Podatność naprawiono w wersji 3.7.3.

WeGIA to menedżer webowy dla instytucji charytatywnych. W wersjach przed 3.7.3 podatność Stored Cross-Site Scripting (XSS) pozwala uwierzytelnionemu użytkownikowi wstrzyknąć złośliwy JavaScript do strony Processo de Aceitação (html/atendido/processo_aceitacao.php), który jest wykonywany, gdy użytkownik uzyska dostęp do strony, umożliwiając przejęcie sesji i konta. Podatność została naprawiona w wersji 3.7.3.

WeGIA to menedżer webowy dla instytucji charytatywnych. W wersjach przed 3.7.3 podatność Stored Cross-Site Scripting (XSS) pozwala uwierzytelnionemu użytkownikowi wstrzyknąć złośliwy JavaScript do strony "Etapas de um Processo" (html/atendido/etapa_processo.php), który jest wykonywany, gdy użytkownik uzyska dostęp do strony, umożliwiając przejęcie sesji i konta. Podatność została naprawiona w wersji 3.7.3.

W WeGIA w wersjach przed 3.6.10 próba przesłania pliku o złośliwej zawartości do funcionario/docdependente_upload.php powoduje zbyt opisowy komunikat błędu. Prowadzi to do ujawnienia informacji i zwiększa powierzchnię ataku.

W aplikacji WeGIA w wersjach przed 3.7.0 występuje podatność typu reflected XSS w pliku lista_arquivos_etapa.php. Parametr id_processo jest wstawiany bezpośrednio do HTML bez sanityzacji, co pozwala na wstrzyknięcie dowolnego kodu JavaScript.

W WeGIA w wersjach przed 3.7.0 zidentyfikowano podatność Stored Cross-Site Scripting (XSS) w endpoincie funcionario/profile_funcionario.php. Wstrzyknięcie złośliwego ładunku w polu 'Description' (Descrição) i zapisanie profilu powoduje trwałe przechowanie skryptu, który wykonuje się przy każdym dostępie do strony profilu.

W WeGIA przed wersją 3.7.0 skrypt atendido/familiar_docfamiliar.php wyświetla zbyt szczegółowy komunikat błędu zawierający informacje o bazie danych. Ta rozwlekłość prowadzi do ujawnienia informacji, co może pomóc atakującemu w mapowaniu infrastruktury backendu i rozszerzeniu powierzchni ataku. Luka została naprawiona w wersji 3.7.0.

WeGIA to menedżer webowy dla instytucji charytatywnych. W wersjach przed 3.6.10 występuje podatność Stored XSS, która pozwala uwierzytelnionemu użytkownikowi wstrzyknąć złośliwy JavaScript poprzez pole "Destinatário"; ładunek jest przechowywany i wykonywany podczas przeglądania strony wysyłki, wpływając na innych użytkowników. Wersja 3.6.10 naprawia problem.

WeGIA to menedżer webowy dla instytucji charytatywnych. W wersjach przed 3.6.10 podatność Stored Cross-Site Scripting (XSS) pozwala uwierzytelnionemu użytkownikowi wstrzyknąć złośliwy JavaScript do strony powiadomień Intercorrências, który wykonuje się, gdy użytkownik odwiedza tę stronę, umożliwiając przejęcie sesji i konta. Wersja 3.6.10 naprawia problem.

WeGIA w wersjach przed 3.6.10 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionemu użytkownikowi wstrzyknąć złośliwy JavaScript poprzez pole "Nome" na stronie "Informações Pacientes". Payload jest przechowywany i wykonywany podczas przeglądania informacji o pacjencie. Wersja 3.6.10 naprawia problem.

WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie. Parametr 'redirect' pobierany z żądania GET nie jest walidowany ani sprawdzany na białej liście, a następnie używany bezpośrednio w nagłówku Location. Atakujący może przekierować użytkownika na złośliwą stronę.

WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie. Parametr 'redirect' jest pobierany bezpośrednio z $_GET bez walidacji URL, a następnie używany w nagłówku Location, co pozwala na przekierowanie użytkowników na dowolne zewnętrzne strony.

WeGIA przed wersją 3.6.9 zawiera podatność na otwarte przekierowanie w endpointcie /WeGIA/controle/control.php przez parametr 'nextPage'. Aplikacja nie waliduje tego parametru, co pozwala atakującym przekierowywać użytkowników na dowolne zewnętrzne strony.

WeGIA przed wersją 3.6.9 zawiera podatność otwartego przekierowania w endpoint /WeGIA/controle/control.php przez parametr nextPage przy metodo=listarTodos i nomeClasse=EstoqueControle. Parametr nie jest walidowany, co pozwala na przekierowanie użytkowników na dowolne zewnętrzne strony.

WeGIA przed wersją 3.6.9 zawiera podatność na trwałe XSS przez nazwę pliku kopii zapasowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

WeGIA do wersji 3.6.9 zawiera podatność na otwarte przekierowanie w endpointcie /WeGIA/controle/control.php przez parametr nextPage. Aplikacja nie waliduje tego parametru, umożliwiając atakującym przekierowanie użytkowników na dowolne zewnętrzne strony.

WeGIA przed wersją 3.6.9 zawiera podatność otwartego przekierowania w endpoint /WeGIA/controle/control.php przez parametr nextPage przy metodo=listarId i nomeClasse=IsaidaControle. Parametr nie jest walidowany, co pozwala na przekierowanie użytkowników na dowolne zewnętrzne strony.

WeGIA (Web gerenciador para instituições assistenciais) w wersjach przed 3.6.9 zawiera podatność na wstrzyknięcie SQL w pliku dao/memorando/DespachoDAO.php. Parametr id_memorando jest pobierany z $_REQUEST bez walidacji i bezpośrednio interpolowany do zapytań SQL, co pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie dowolnych poleceń SQL w bazie danych. Podatność została naprawiona w wersji 3.6.9.

WeGIA to open source'owy menedżer webowy dla instytucji. W wersjach 3.5.4 i starszych występuje podatność SQL Injection w punkcie końcowym /html/matPat/editar_categoria.php. Aplikacja nie waliduje i nie sanityzuje poprawnie danych wejściowych w parametrze id_categoria, co pozwala atakującym na wstrzyknięcie złośliwych zapytań SQL. Problem został naprawiony w wersji 3.5.5.

WeGIA w wersjach 3.5.4 i starszych zawiera podatność typu Stored Cross-Site Scripting (XSS) w punkcie końcowym /WeGIA/html/geral/configurar_senhas.php. Aplikacja nie sanityzuje danych pochodzących od użytkownika przed wyświetleniem ich w rozwijanej liście wyboru pracownika, wstrzykując nazwy pracowników bezpośrednio do elementów HTML <option> bez odpowiedniego escapowania.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji, zawiera podatność odbitego XSS w punkcie końcowym editar_info_pessoal.php przed wersją 3.5.1. Atakujący może wstrzyknąć złośliwe skrypty w parametr action.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji, przed wersją 3.5.1 zawiera podatność na odbity XSS w punkcie końcowym editar_info_pessoal.php. Luka umożliwia atakującym wstrzyknięcie złośliwych skryptów w parametr sql. Podatny punkt końcowy to GET /WeGIA/html/pessoa/editar_info_pessoal.php?sql=1. Problem został naprawiony w wersji 3.5.1.

WeGIA to otwartoźródłowy system Web Manager dla instytucji ukierunkowany na użytkowników języka portugalskiego. W wersjach przed 3.5.0 zidentyfikowano podatność Open Redirect w punkcie końcowym control.php, w parametrze nextPage (metodo=listarTodos nomeClasse=AlmoxarifeControle). Podatność pozwala atakującemu przekierować użytkowników na dowolne zewnętrzne domeny, umożliwiając kampanie phishingowe, dystrybucję złośliwego oprogramowania lub kradzież danych uwierzytelniających.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji, przed wersją 3.5.1 zawiera podatność SQL Injection w punkcie końcowym /html/funcionario/dependente_documento.php, w parametrze id_dependente. Umożliwia to atakującemu wykonanie dowolnych poleceń SQL, naruszając poufność, integralność i dostępność bazy danych. Podatność została naprawiona w wersji 3.5.1.

WeGIA to otwartoźródłowy menedżer sieciowy dla instytucji skierowany do użytkowników języka portugalskiego. W wersjach przed 3.5.0 zidentyfikowano podatność Reflected Cross-Site Scripting (XSS) w punkcie końcowym /pet/profile_pet.php?id_pet=. Podatność pozwala atakującym na wstrzyknięcie złośliwych skryptów w parametrze id_pet. Podatność została naprawiona w wersji 3.5.0.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji, przed wersją 3.5.1 ma podatność na Reflected Cross-Site Scripting (XSS) w parametrze log w pliku configuracao_geral.php. Atakujący może wstrzyknąć dowolny kod JavaScript, który wykonuje się w przeglądarce ofiary. Podatność została naprawiona w wersji 3.5.1.

WeGIA przed wersją 3.5.1 zawiera podatność SQL Injection w punkcie końcowym /html/funcionario/cadastro_funcionario_pessoa_existente.php, w parametrze cpf. Atakujący może wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych.

WeGIA przed wersją 3.5.1 ma podatność na Reflected Cross-Site Scripting (XSS) w punkcie końcowym /html/atendido/cadastro_atendido_parentesco_pessoa_nova.php, umożliwiającą atakującym wstrzyknięcie złośliwych skryptów w parametrze idatendido. Podatność została naprawiona w wersji 3.5.1.

WeGIA przed wersją 3.5.1 zawiera podatność SQL Injection w punkcie końcowym /html/funcionario/dependente_listar.php, w parametrze id_funcionario. Atakujący może wykonywać dowolne polecenia SQL, naruszając poufność, integralność i dostępność bazy danych.