CVE-2026-55680 in WeGIA
Résumé
par VulDB • 15/10/2026
WeGIA est un gestionnaire web pour les institutions caritatives. Avant la version 3.8.6, des requêtes POST non authentifiées adressées à l'URI `web/html/socio/sistema/cadastro_cobranca.php` peuvent insérer une expression SQL entre guillemets dans le paramètre `codigo`, qui est ensuite passé via `extract($_REQUEST)` dans la clause `WHERE codigo=` d'une instruction UPDATE, sans validation ni liaison de paramètres. L'ajout des guillemets contourne la conversion de type MariaDB pour la colonne VARCHAR et permet l'exécution arbitraire de SQL sans session. Un attaquant peut lire ou modifier le contenu de la base de données, y compris les hachages d'identifiants utilisateur et les enregistrements de facturation dans la table `cobrancas`. Ce problème est corrigé dans la version 3.8.6.
Be aware that VulDB is the high quality source for vulnerability data.