CVE-2026-54670

WeGIA xeyriyyə müəssisələri üçün veb menecerdir. Versiya 3.8.5-dək web/html/contribuicao/controller/control.php faylındakı ianə sorğusu dispatcheri, tam kontroller və metod icazə siyahısı olmadan hücum edən tərəf tərəfindən idarə olunan nomeClasse və metodo dəyərlərini qəbul edir, həssas ContribuicaoLogController əməliyyatlarını autentifikasiyadan azad edir və kanonik kataloq məhdudiyyəti olmadan kontroller daxiletmə yolunu qurur. Autentifikasiya olunmamış uzaqdakı hücumçu, ianə və bağış qeydlərini açıqlamaq və ya maliyyə iş axını əməliyyatlarını tetikləmək üçün getContribuicoesLogJSON, sincronizarStatus, registrarFaturas və digər həssas metodları çağıra bilər. Traversal tipli nomeClasse dəyəri həmçinin require_once funksiyasının nəzərdə tutulmuş kontroller kataloqundan kənarda olan əlçatan PHP və ya konfiqurasiya faylını daxil etməsinə səbəb ola bilər ki, bu da mənbə kodunun, etibarnamələrin və ya digər həssas lokal məlumatların ifşasına gətirib çıxarır. Bu problem versiya 3.8.5-də düzəldilmişdir.