CVE-2026-55681 in WeGIA
要約
〜によって VulDB • 2026年10月14日
WeGIAは、慈善団体向けのウェブマネージャーです。バージョン3.8.6より前では、Material & Patrimônioモジュールへのアクセス権を持つ認証済みユーザーがid_produtoをweb/html/matPat/restaurar_produto_desocultar.phpに送信でき、ここで2回目のextract($_REQUEST)によりintval()によって以前サニタイズされた値が上書きされます。生（raw）の値はproduto、isaida、ientradaテーブルに対するUPDATE文に挿入されます。攻撃者は任意のSQLを実行して機密性の高いデータベースレコードを抽出したり、機関および在庫データを変更したりできます。この問題はバージョン3.8.6で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.