Podatności WeGIA

WeGIA jest open source'owym menedżerem internetowym skupionym na instytucjach charytatywnych. Wersje 3.4.12 i niższe zawierają podatność na złamanie kontroli dostępu, zidentyfikowaną w punkcie końcowym get_relatorios_socios.php. Ta podatność pozwala nieuwierzytelnionym atakującym na bezpośredni dostęp do wrażliwych danych osobowych i finansowych członków bez wymaganego uwierzytelnienia lub autoryzacji. Problem został naprawiony w wersji 3.5.0.

WeGIA, otwarty menedżer internetowy dla instytucji charytatywnych, w wersjach 3.4.12 i niższych zawiera podatność na otwarte przekierowanie (Open Redirect) w punkcie końcowym control.php, w parametrze nextPage (metodo=listarUmnomeClasse=FuncionarioControle). Podatność umożliwia atakującym przekierowanie użytkowników na dowolne zewnętrzne domeny, co może prowadzić do kampanii phishingowych, dystrybucji złośliwego oprogramowania lub kradzieży danych uwierzytelniających. Problem został naprawiony w wersji 3.5.0.

WeGIA, otwartoźródłowy menedżer internetowy dla instytucji charytatywnych, w wersjach 3.4.12 i niższych zawiera podatność CSRF. Operacja usuwania encji Almoxarifado jest dostępna przez HTTP GET bez ochrony CSRF, co pozwala zewnętrznej stronie na wywołanie akcji przy użyciu uwierzytelnionej sesji ofiary. Problem naprawiono w wersji 3.5.0.

WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.5.0 jest podatny na ataki SQL Injection w punkcie końcowym control.php z parametrami: nomeClasse=ProdutoControle&metodo=excluir&id_produto=[złośliwe polecenie]. Konieczne jest zastosowanie metod prepared statements, sanityzacji i walidacji parametru id_produto. Problem został naprawiony w wersji 3.5.0.