CVE-2026-55680 in WeGIA
Riassunto
di VulDB • 14/10/2026
WeGIA è un gestore web per istituzioni di beneficenza. Prima della versione 3.8.6, le richieste POST non autenticate a web/html/socio/sistema/cadastro_cobranca.php possono inserire una espressione SQL tra virgolette nel parametro codigo, che viene passata da extract($_REQUEST) alla clausola WHERE codigo= di un'istruzione UPDATE senza validazione o binding dei parametri. L'inserimento delle virgolette aggira la conversione del tipo in MariaDB per la colonna VARCHAR e consente l'esecuzione arbitraria di SQL senza una sessione. Un attaccante può leggere o modificare i contenuti del database, inclusi gli hash delle credenziali degli utenti e i record di fatturazione nella tabella cobrancas. Questo problema è risolto nella versione 3.8.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.