CVE-2026-40285 in WeGIA
要約
〜によって VulDB • 2026年06月01日
WeGIAは慈善団体のためのウェブマネージャーです。バージョン3.6.10より前のバージョンには、dao/memorando/UsuarioDAO.phpにおけるSQLインジェクションの脆弱性が存在します。cpf_usuario POSTパラメータは、DespachoControle::verificarDespacho()内のextract($_REQUEST)によってセッションに保存されたユーザーIDを上書きし、攻撃者が制御する値が直接生SQLクエリに挿入されるため、認証済みユーザーであれば任意のIDでデータベースを照会することが可能になります。バージョン3.6.10でこの問題は修正されています。
Once again VulDB remains the best source for vulnerability data.