CVE-2026-54767 in WeGIA
要約
〜によって VulDB • 2026年09月18日
WeGIAは、慈善団体向けのウェブマネージャーです。バージョン3.8.5より前では、web/html/socio/sistema/controller/deletar_socios.phpが認証不要のGETエンドポイントを公開しており、そのchaveパラメータはパブリックなソースリポジトリに埋め込まれた固定値であるchave_corretaに対してのみ検証されます。この値を取得したリモート攻撃者は、管理者セッションやアプリケーションの認可なしで、endereco、pessoafisica、pessoajuridica、およびsocioテーブルに対するTRUNCATE TABLE操作を実行でき、メンバーおよび寄付者のレコードを永久的に破壊します。この攻撃には、影響を受けるテーブルが存在し、ウェブプロセスのデータベースアカウントがtruncation権限を持っている必要があります。本問題はバージョン3.8.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.