CVE-2026-28408

WeGIA – pominięcie uwierzytelnienia w adicionar_tipo_docs_atendido.php

CVSS 9.8v3.1pub. 2026-02-27upd. 2026-03-03

W aplikacji WeGIA (menedżer webowy dla instytucji charytatywnych) skrypt adicionar_tipo_docs_atendido.php nie przechodzi przez centralny kontroler projektu i nie posiada własnych mechanizmów uwierzytelnienia ani weryfikacji uprawnień. Podatność umożliwia nieuwierzytelnionemu atakującemu dostęp do funkcji zarezerwowanych wyłącznie dla pracowników oraz masowe wstrzykiwanie nieautoryzowanych danych do zasobów serwera.

▸ Pokaż oryginał (EN)

WeGIA is a web manager for charitable institutions. Prior to version 3.6.5, the script in adicionar_tipo_docs_atendido.php does not go through the project's central controller and does not have its own authentication and permission checks. A malicious user could make a request through tools like Postman or the file's URL on the web to access features exclusive to employees. The vulnerability allows external parties to inject unauthorized data in massive quantities into the application server's storage. Version 3.6.5 fixes the issue.

🤖 Analiza AI

Jak działa

Skrypt adicionar_tipo_docs_atendido.php jest dostępny bezpośrednio przez URL lub narzędzia typu Postman bez przejścia przez centralny kontroler aplikacji. Ponieważ nie implementuje własnych kontroli uwierzytelnienia ani uprawnień (CWE-287, CWE-862), każdy zewnętrzny użytkownik może wysyłać do niego żądania HTTP. W ten sposób atakujący może korzystać z funkcjonalności przeznaczonych dla zalogowanych pracowników i w sposób niekontrolowany zapisywać duże ilości danych w przestrzeni dyskowej serwera.

Skutki

Atakujący bez żadnego uwierzytelnienia może uzyskać dostęp do funkcji zarezerwowanych dla pracowników oraz masowo wstrzykiwać nieuprawnione dane do bazy/zasobów serwera, co może prowadzić do naruszenia integralności danych, wyczerpania przestrzeni dyskowej i zakłócenia działania aplikacji.

Mitygacja

Należy zaktualizować WeGIA do wersji 3.6.5, która wprowadza poprawkę eliminującą podatność poprzez włączenie skryptu do centralnego mechanizmu kontroli dostępu projektu.