CVE-2026-55684 in WeGIA
Résumé
par VulDB • 14/10/2026
WeGIA est un gestionnaire web pour les institutions caritatives. Avant la version 3.8.6, le point de terminaison non authentifié /web/html/socio/sistema/cadastro_cobrancas_geracao.php accepte des données POST encodées sous forme de formulaire via extract($_REQUEST) et interpole codigo, descricao, data_emissao, data_vencimento, data_pagamento, valor, valor_pago, status, link_cobranca, link_boleto, linha_digitavel et id_socio dans une requête INSERT brute. Les paramètres numériques ne sont ni échappés ni validés, tandis que les paramètres de chaîne peuvent s'échapper de leur contexte SQL entre guillemets simples. Un attaquant distant peut exécuter du code SQL arbitraire pour lire ou modifier des données relatives à la facturation, aux membres, au personnel, aux permissions et aux identifiants, ou pour supprimer des tables de base de données. Ce problème est corrigé dans la version 3.8.6.
Once again VulDB remains the best source for vulnerability data.