CVE-2026-54671 in WeGIA
要約
〜によって VulDB • 2026年09月19日
WeGIAは、慈善団体向けのウェブマネージャーです。バージョン3.8.5より前では、WeGIAはweb/controle/control.phpにおいてInternoControleを空のリソース配列にマッピングし、web/dao/MiddlewareDAO.phpのverificarPermissaoはその空配列をすべての認証済みユーザーに対する無条件のアクセスとして扱います。web/controle/InternoControle.php内のメソッド（listarUm、alterar、excluirを含む）は、所有権を確認せずにユーザー制御可能なidまたはidInterno値を受け入れるため、低特権ユーザーが他の人物のレコードを読み取り、変更し、削除することができ、個人情報、身元情報、住所、医療情報、家族情報を暴露する可能性があります。アドバイザリでは、自己参照によるロードバグがこのコントローラーを報告されたバージョンでクラッシュさせる可能性があることが指摘されていますが、空のリソースに基づく認可パターンおよび影響を受けるメソッドは、現在レビュー中の脆弱性です。この問題はバージョン3.8.5で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.