Plataforma
php
Componente
wegia
Corregido en
3.6.3
Se ha descubierto una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en WeGIA, un gestor web para instituciones benéficas. Esta falla, presente en versiones anteriores a 3.6.2, reside en el archivo html/memorando/inseredespacho.php. La falta de sanitización adecuada del parámetro GET idmemorando permite a atacantes inyectar código JavaScript malicioso, comprometiendo la seguridad de los usuarios. La vulnerabilidad ha sido corregida en la versión 3.6.2.
Un atacante puede explotar esta vulnerabilidad inyectando código JavaScript arbitrario en la página web de WeGIA a través del parámetro GET id_memorando. Este código se ejecutará en el navegador de la víctima, permitiendo al atacante robar cookies de sesión, redirigir al usuario a sitios maliciosos, o incluso modificar el contenido de la página web. La inyección de JavaScript puede comprometer la confidencialidad de la información sensible, como datos de donantes o beneficiarios, y afectar la disponibilidad del sistema al permitir ataques de denegación de servicio. La falta de autenticación requerida para explotar la vulnerabilidad amplía el alcance del riesgo.
La vulnerabilidad fue publicada el 16 de enero de 2026. No se ha reportado explotación activa a la fecha. No se encuentra listada en el KEV de CISA. La severidad de la vulnerabilidad es crítica debido a su facilidad de explotación y el potencial impacto en la confidencialidad y disponibilidad del sistema.
Charitable institutions and organizations utilizing WeGIA version 3.6.2 or earlier are at significant risk. This includes organizations relying on WeGIA for donor management, financial tracking, and other critical operations. Shared hosting environments where multiple organizations share the same server infrastructure are particularly vulnerable, as a compromise of one WeGIA instance could potentially impact others.
• php: Examine the html/memorando/inseredespacho.php file for inadequate input sanitization of the idmemorando parameter.
• generic web: Monitor access logs for requests containing JavaScript code in the idmemorando parameter (e.g., ?idmemorando=<script>alert('XSS')</script>).
• generic web: Check response headers for signs of JavaScript injection.
• generic web: Use curl to test the endpoint with a simple XSS payload: curl 'http://wegia-instance.com/html/memorando/inseredespacho.php?idmemorando=<script>alert("XSS")</script>'
disclosure
Estado del Exploit
EPSS
0.11% (29% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar WeGIA a la versión 3.6.2 o superior, donde la vulnerabilidad ha sido resuelta. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y codificación de todas las entradas de usuario en el archivo html/memorando/inseredespacho.php. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan código JavaScript sospechoso en el parámetro GET idmemorando. Monitorear los registros de acceso en busca de patrones de inyección de código también puede ayudar a detectar y prevenir ataques.
Actualice WeGIA a la versión 3.6.2 o posterior. Esta versión contiene la corrección para la vulnerabilidad XSS. Descargue la última versión desde el sitio web oficial del proveedor o a través de los canales de actualización proporcionados.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-23722 is a critical Reflected Cross-Site Scripting (XSS) vulnerability in WeGIA versions up to 3.6.2, allowing attackers to inject malicious JavaScript code.
You are affected if you are using WeGIA version 3.6.2 or earlier. Immediately check your version and apply the necessary updates.
Upgrade WeGIA to version 3.6.2 or later. Consider implementing a WAF rule to filter malicious requests as an interim measure.
While no active exploitation campaigns have been publicly confirmed, the vulnerability's severity and ease of exploitation suggest a high probability of future attacks.
Refer to the WeGIA website and security advisories for the official announcement and detailed remediation steps.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.