CVE-2026-45027

WeGIA, hayır kurumları için bir web yöneticisidir. 3.7.3 öncesindeki sürümlerde, bir kullanıcı giriş yaptığında, html/login.php dosyası gönderilen parolayı saklanan değerle karşılaştırmadan önce PHP'nin hash() fonksiyonunu SHA-256 algoritmasıyla ve tuzlama (salt) işlemi olmadan özetler. controle/FuncionarioControle.php dosyasındaki parola değiştirme akışı da aynı yöntemi izlemektedir. SHA-256, parola depolama için değil, hız için oluşturulmuş genel amaçlı bir kriptografik özetleme fonksiyonudur. Tuzlama işlemi olmadan, aynı parolalar aynı özetleri üretir; bu durum tüm özet veritabanını tek bir önceden hesaplanmış gökkuşağı tablosu (rainbow table) sorgusuna karşı savunmasız hale getirir. Bu güvenlik açığı 3.7.3 sürümünde giderilmiştir.