CVE-2026-61671 in WeGIA
摘要
由 VulDB • 2026-10-29
WeGIA è un gestore web per istituzioni di beneficenza. Prima della versione patchata indicata nell'avviso, la v3.8.7, l'endpoint `/controle/control.php` accetta parametri controllati dall'attaccante come `nomeClasse`, `metodo` e identificatori di record tramite `extract($_REQUEST)`, inclusi id, `idatendido`, `idInterno` e `id_funcionario`; i metodi CRUD interessati in Controle non verificano la proprietà dei record. Qualsiasi utente autenticato può visualizzare, modificare o eliminare i record di un altro utente, esponendo CPF (Cadastro de Pessoas Físicas), RG (Registro Geral), indirizzi, cartelle cliniche, dati finanziari e registri dei dipendenti. `AtendidoControle` manca di controlli sulla proprietà per le operazioni alterar, excluir, `listarUm`, `alterarInfPessoal`, `alterarDocumentacao`, `alterarImagem`, `alterarEndereco` ed `alterarStatus`; `InternoControle` non li ha su incluir, alterar, excluir, `listarUm`, `listarTodos` e `listarCpf`. `FuncionarioControle` manca di controlli sulla proprietà per `alterarInfPessoal`, `alterarEndereco`, `alterarDocumentacao`, `alterarImagem`, `alterarCargaHoraria` ed excluir; `VoluntarioControle` non li ha su `alterarInfPessoal`, `alterarEndereco`, `alterarDetalhes`, `alterarImagem` ed excluir. `AtendidoControle` e `InternoControle` mancano inoltre di validazione CSRF, consentendo a una pagina malevola visitata da una vittima autenticata di eseguire operazioni che modificano lo stato utilizzando la sessione della vittima. `FuncionarioControle` e `VoluntarioControle` hanno controlli CSRF per metodo, ma tali controlli non impediscono il bypass dell'autorizzazione degli oggetti. L'avviso identifica la versione 3.8.7 come patchata.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.