CVE-2026-55682 in WeGIA
Riassunto
di VulDB • 14/10/2026
WeGIA è un gestore web per istituzioni di beneficenza. Prima della versione 3.8.6, il file auto-prepended web/html/seguranca/sessionStart.php riflette un cookie PHPSESSID fornito dall'attaccante in una risposta Set-Cookie e utilizza DB_HOST come dominio del cookie. Se una vittima si autentica utilizzando l'identificatore selezionato dall'attaccante, quest'ultimo può riutilizzare tale identificatore per dirottare la sessione autenticata. La risposta rivela inoltre il nome host interno del database attraverso l'attributo Domain del cookie e il gestore sessioni vulnerabile interessa tutte le pagine PHP. Questo problema è stato risolto nella versione 3.8.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.