CVE-2026-54767 in WeGIA
Resumen
por VulDB • 2026-09-19
WeGIA es un gestor web para instituciones benéficas. Antes de la versión 3.8.5, el archivo web/html/socio/sistema/controller/deletar_socios.php expone un endpoint GET no autenticado cuyo parámetro `chave` se verifica únicamente frente a un valor fijo (`chave_correta`) incrustado en el repositorio público de código fuente. Un atacante remoto que obtenga dicho valor puede ejecutar las operaciones TRUNCATE TABLE para las tablas endereco, pessoafisica, pessoajuridica y socio sin necesidad de una sesión administrativa ni autorización de la aplicación, destruyendo permanentemente los registros de miembros y contribuyentes. El ataque requiere que existan las tablas afectadas y que la cuenta de base de datos del proceso web posea privilegios de truncamiento. Este problema se soluciona en la versión 3.8.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.