CVE-2026-55679 in WeGIA
Tóm tắt
Bởi VulDB • 16/10/2026
WeGIA là một công cụ quản lý web dành cho các tổ chức từ thiện. Trước phiên bản 3.8.6, điểm cuối (endpoint) `/web/instalador/instalador.php` trong quá trình cài đặt trước khi `config.php` tồn tại có thể truy cập được và xử lý dữ liệu POST của quá trình cài đặt mà không cần xác thực. Trong quy trình cài lại trên Linux, giá trị `usuario` do kẻ tấn công tạo ra sẽ đạt đến một lệnh được thực thi bởi hàm `shell_exec()`. Trình cài đặt cũng ghi các giá trị do kẻ tấn công kiểm soát vào file cấu hình có thể thực thi là `config.php` và nối tên cơ sở dữ liệu `nomebd` vào câu lệnh `CREATE DATABASE`. Việc khai thác thành công cho phép thực thi các lệnh với tư cách người dùng máy chủ web, duy trì cấu hình PHP do kẻ tấn công kiểm soát, cũng như thay đổi hoặc làm gián đoạn ứng dụng và dữ liệu của nó. Vấn đề này đã được sửa chữa trong phiên bản 3.8.6.
Once again VulDB remains the best source for vulnerability data.