CVE-2026-54670
Açıklama
WeGIA, hayır kurumları için bir web yöneticisidir. 3.8.5 sürümünden önce, web/html/contribuicao/controller/control.php konumundaki katkı talebi dağıtıcısı; eksiksiz bir denetleyici ve yöntem izin listesi olmaksızın saldırgan tarafından kontrol edilen nomeClasse ve metodo değerlerini kabul eder, hassas ContribuicaoLogController işlemlerini kimlik doğrulamadan muaf tutar ve kanonik dizin sınırlaması olmadan bir denetleyici dahil etme yolu oluşturur. Kimliği doğrulanmamış uzaktan bir saldırgan; katkı ve bağış kayıtlarını ifşa etmek veya finansal iş akışı işlemlerini tetiklemek için getContribuicoesLogJSON, sincronizarStatus, registrarFaturas ve diğer hassas yöntemleri çağırabilir. Traversal yapısındaki bir nomeClasse değeri ayrıca require_once fonksiyonunun, hedeflenen denetleyici dizininin dışındaki erişilebilir bir PHP veya yapılandırma dosyasını dahil etmesine neden olarak kaynak kodunu, kimlik bilgilerini veya diğer hassas yerel verileri açığa çıkarabilir. Bu sorun 3.8.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| LabRedesCefetRJ WeGIA | < 3.8.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.