CVE-2026-28411
Publiée le 2026-02-27 · Dernière modification le 2026-06-17
Les versions de WeGIA web manager antérieures à la 3.6.5 sont affectées par une faille qui permet à un attaquant d'écraser des variables internes du programme. En envoyant une requête réseau spécialement conçue, un utilisateur distant non authentifié peut contourner les exigences de connexion pour obtenir un accès administratif complet à l'application. Cet exploit est facile à exécuter car il ne nécessite aucun compte préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
WeGIA is a web manager for charitable institutions. Prior to version 3.6.5, an unsafe use of the `extract()` function on the `$_REQUEST` superglobal allows an unauthenticated attacker to overwrite local variables in multiple PHP scripts. This vulnerability can be leveraged to completely bypass authentication checks, allowing unauthorized access to administrative and protected areas of the WeGIA application. Version 3.6.5 fixes the issue.