WeGIA hat eine gespeicherte XSS in listar_despachos.php

CVE-2026-40284 betrifft WeGIA, ein Web-Management-Tool für gemeinnützige Organisationen. Diese Schwachstelle ist ein gespeichertes Cross-Site-Scripting (XSS)-Problem, das es einem authentifizierten Benutzer ermöglicht, bösartigen JavaScript-Code über das Feld 'Destinatário' (Empfänger) einzuschleusen. Die Nutzlast wird gespeichert und anschließend ausgeführt, wenn die Versandseite aufgerufen wird, was andere Benutzer potenziell beeinträchtigen kann. Der CVSS-Score beträgt 6,8, was ein mittleres Risiko anzeigt. Die gespeicherte Natur der Schwachstelle bedeutet, dass der Angriff bestehen bleiben und mehrere Benutzer ohne wiederholte Einspeisung beeinträchtigen kann. Dies könnte zu Diebstahl von Anmeldeinformationen, Datenmanipulation oder Weiterleitung auf bösartige Websites führen. Die Schwere des Einfalls hängt von den Berechtigungen des betroffenen Benutzers und der Sensibilität der von WeGIA verwalteten Daten ab.

Charitable institutions and organizations utilizing WeGIA version 3.6.0 through 3.6.10 are at risk. Specifically, organizations with multiple authenticated users and those who rely on WeGIA for managing beneficiary information and donations are particularly vulnerable. Shared hosting environments where multiple WeGIA instances reside on the same server could also amplify the impact of a successful attack.

• php: Examine WeGIA application logs for suspicious JavaScript injection attempts in the 'Destinatário' field. Look for patterns like <script> tags or javascript: URLs.

grep -i 'javascript:|script' /var/log/apache2/access.log | grep 'wegia'

• generic web: Use curl to test the dispatch page with a simple XSS payload in the 'Destinatário' field and observe the response for signs of script execution.

curl -X POST -d "Destinatario=<script>alert('XSS')</script>" http://wegia-instance/dispatch.php

• generic web: Check the HTML source code of the dispatch page for any injected JavaScript code. Inspect the 'Destinatário' field for unexpected script tags.

1. 2026-04-17Disclosure

   disclosure

1. Reserviert2026-04-10
2. Veröffentlicht2026-04-17
3. Geändert2026-04-20
4. EPSS aktualisiert2026-04-25

Die Lösung für CVE-2026-40284 ist die Aktualisierung von WeGIA auf Version 3.6.10 oder höher. Diese Version enthält eine Korrektur, die die XSS-Schwachstelle mildert. Es wird empfohlen, dieses Update so schnell wie möglich anzuwenden, insbesondere wenn WeGIA von mehreren Benutzern verwendet wird oder sensible Informationen verarbeitet. Überprüfen Sie außerdem die Audit-Protokolle auf Anzeichen früherer Angriffe und ergreifen Sie Korrekturmaßnahmen. Die Implementierung robuster Sicherheitsrichtlinien, wie z. B. die Validierung und Bereinigung von Benutzereingaben, kann dazu beitragen, zukünftige XSS-Schwachstellen zu verhindern. Regelmäßige Penetrationstests sind ebenfalls eine gute Praxis, um potenzielle Sicherheitslücken zu identifizieren und zu beheben.