Plateforme
php
Composant
wegia
Corrigé dans
3.6.3
Une vulnérabilité de Cross-Site Scripting (XSS) a été découverte dans WeGIA, un gestionnaire web pour institutions caritatives. Cette faille, présente dans le fichier html/memorando/insere_despacho.php, permet à des attaquants d'injecter du code JavaScript malveillant. Elle affecte les versions de WeGIA inférieures ou égales à 3.6.2 et a été corrigée dans la version 3.6.2.
L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript arbitraire dans le navigateur d'un utilisateur authentifié. Cela peut conduire au vol de cookies de session, permettant à l'attaquant d'usurper l'identité de l'utilisateur et d'accéder à des données sensibles. L'attaquant peut également modifier le contenu de la page web, rediriger l'utilisateur vers des sites malveillants ou exécuter d'autres actions malveillantes dans le contexte de la session de l'utilisateur. Le risque est exacerbé par le fait que l'injection est possible sans authentification préalable.
Cette vulnérabilité a été rendue publique le 16 janvier 2026. Il n'y a pas d'indications d'une exploitation active à ce jour, ni de mention sur le KEV de CISA. L'absence de validation des entrées utilisateur dans le fichier insere_despacho.php est la cause principale de cette vulnérabilité.
Charitable institutions and organizations utilizing WeGIA version 3.6.2 or earlier are at significant risk. This includes organizations relying on WeGIA for donor management, financial tracking, and other critical operations. Shared hosting environments where multiple organizations share the same server infrastructure are particularly vulnerable, as a compromise of one WeGIA instance could potentially impact others.
• php: Examine the html/memorando/inseredespacho.php file for inadequate input sanitization of the idmemorando parameter.
• generic web: Monitor access logs for requests containing JavaScript code in the idmemorando parameter (e.g., ?idmemorando=<script>alert('XSS')</script>).
• generic web: Check response headers for signs of JavaScript injection.
• generic web: Use curl to test the endpoint with a simple XSS payload: curl 'http://wegia-instance.com/html/memorando/inseredespacho.php?idmemorando=<script>alert("XSS")</script>'
disclosure
Statut de l'Exploit
EPSS
0.11% (percentile 29%)
CISA SSVC
Vecteur CVSS
La solution principale est de mettre à jour WeGIA vers la version 3.6.2 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de mettre en place des règles de pare-feu applicatif (WAF) pour bloquer les requêtes contenant des charges utiles XSS potentielles. Il est également recommandé de désactiver temporairement le paramètre GET id_memorando si cela est possible sans impacter la fonctionnalité du système. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter des tentatives d'injection XSS.
Mettez à jour WeGIA à la version 3.6.2 ou ultérieure. Cette version contient la correction pour la vulnérabilité XSS. Téléchargez la dernière version depuis le site web officiel du fournisseur ou via les canaux de mise à jour fournis.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-23722 is a critical Reflected Cross-Site Scripting (XSS) vulnerability in WeGIA versions up to 3.6.2, allowing attackers to inject malicious JavaScript code.
You are affected if you are using WeGIA version 3.6.2 or earlier. Immediately check your version and apply the necessary updates.
Upgrade WeGIA to version 3.6.2 or later. Consider implementing a WAF rule to filter malicious requests as an interim measure.
While no active exploitation campaigns have been publicly confirmed, the vulnerability's severity and ease of exploitation suggest a high probability of future attacks.
Refer to the WeGIA website and security advisories for the official announcement and detailed remediation steps.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.