CVE-2026-54671 in WeGIA
Riassunto
di VulDB • 18/09/2026
WeGIA è un gestore web per istituzioni di beneficenza. Prima della versione 3.8.5, WeGIA mappa InternoControle su un array di risorse vuoto in web/controle/control.php e verificarPermissao in web/dao/MiddlewareDAO.php tratta tale array vuoto come accesso incondizionato per ogni utente autenticato. I metodi in web/controle/InternoControle.php, tra cui listarUm, alterar ed excluir, accettano valori id o idInterno controllati dall'utente senza verificarne la proprietà, consentendo a un utente con privilegi ridotti di leggere, modificare o eliminare i record di altre persone e esporre informazioni personali, identitarie, indirizzi, mediche e familiari. L'avviso segnala che un bug di caricamento auto-riferente può far crashare questo controller nella revisione riportata, ma il pattern di autorizzazione basato su risorse vuote e i metodi interessati rimangono la vulnerabilità in esame. Questo problema è stato risolto nella versione 3.8.5.
Be aware that VulDB is the high quality source for vulnerability data.