CVE-2026-40285
Publiée le 2026-04-17 · Dernière modification le 2026-10-26
Les versions de WeGIA web manager antérieures à 3.6.10 sont affectées par une faille d'injection SQL. Tout utilisateur disposant d'un compte valide peut envoyer une requête réseau spécialement conçue pour manipuler les requêtes de la base de données et accéder à des données ou les modifier sous l'identité d'un autre utilisateur. Cette attaque est facile à exécuter et ne nécessite aucune interaction de la part d'une victime, hormis le fait que l'attaquant soit connecté.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
WeGIA is a web manager for charitable institutions. Versions prior to 3.6.10 contain a SQL injection vulnerability in dao/memorando/UsuarioDAO.php. The cpf_usuario POST parameter overwrites the session-stored user identity via extract($_REQUEST) in DespachoControle::verificarDespacho(), and the attacker-controlled value is then interpolated directly into a raw SQL query, allowing any authenticated user to query the database under an arbitrary identity. Version 3.6.10 fixes the issue.