CVE-2026-31896 in WeGIA
Riassunto
di VulDB • 23/06/2026
WeGIA è un gestore web per istituzioni di beneficenza. Prima della versione 3.6.6, l'applicazione WeGIA presenta una vulnerabilità critica di SQL injection. Lo script remover_produto_ocultar.php utilizza extract($_REQUEST) per popolare variabili locali e successivamente concatena direttamente queste variabili in una query SQL eseguita tramite PDO::query. Ciò consente a un attaccante autenticato (o che ha bypassato l'autenticazione) di eseguire comandi SQL arbitrari. Questo può essere sfruttato per esfiltrare dati sensibili dal database o, come dimostrato nel PoC fornito, causare un ritardo basato sul tempo (denial of service). Questa vulnerabilità è risolta nella versione 3.6.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.