WeGIA présente une XSS stockée dans listar_despachos.php

CVE-2026-40284 affecte WeGIA, un gestionnaire web pour les institutions caritatives. Cette vulnérabilité est une faille de Cross-Site Scripting (XSS) stockée qui permet à un utilisateur authentifié d'injecter du code JavaScript malveillant via le champ 'Destinatário' (Destinataire). La charge utile est stockée et exécutée ultérieurement lors de la consultation de la page d'expédition, impactant potentiellement d'autres utilisateurs. Le score CVSS est de 6,8, ce qui indique un risque moyen. La nature stockée de la vulnérabilité signifie que l'attaque peut persister et affecter plusieurs utilisateurs sans nécessiter d'injection répétée. Cela pourrait entraîner le vol de données d'identification, la manipulation de données ou le renvoi vers des sites malveillants. La gravité de l'impact dépend des privilèges de l'utilisateur concerné et de la sensibilité des données gérées par WeGIA.

Charitable institutions and organizations utilizing WeGIA version 3.6.0 through 3.6.10 are at risk. Specifically, organizations with multiple authenticated users and those who rely on WeGIA for managing beneficiary information and donations are particularly vulnerable. Shared hosting environments where multiple WeGIA instances reside on the same server could also amplify the impact of a successful attack.

• php: Examine WeGIA application logs for suspicious JavaScript injection attempts in the 'Destinatário' field. Look for patterns like <script> tags or javascript: URLs.

grep -i 'javascript:|script' /var/log/apache2/access.log | grep 'wegia'

• generic web: Use curl to test the dispatch page with a simple XSS payload in the 'Destinatário' field and observe the response for signs of script execution.

curl -X POST -d "Destinatario=<script>alert('XSS')</script>" http://wegia-instance/dispatch.php

• generic web: Check the HTML source code of the dispatch page for any injected JavaScript code. Inspect the 'Destinatário' field for unexpected script tags.

1. 2026-04-17Disclosure

   disclosure

1. Réservé2026-04-10
2. Publiée2026-04-17
3. Modifiée2026-04-20
4. EPSS mis à jour2026-04-25

La solution pour CVE-2026-40284 consiste à mettre à jour WeGIA vers la version 3.6.10 ou ultérieure. Cette version inclut une correction qui atténue la vulnérabilité XSS. Il est recommandé d'appliquer cette mise à jour dès que possible, surtout si WeGIA est utilisé par plusieurs utilisateurs ou gère des informations sensibles. De plus, examinez les journaux d'audit pour détecter tout signe d'attaques précédentes et prenez des mesures correctives. La mise en œuvre de politiques de sécurité robustes, telles que la validation et la désinfection des entrées utilisateur, peut aider à prévenir les futures vulnérabilités XSS. Des tests d'intrusion réguliers sont également une bonne pratique pour identifier et corriger les éventuelles failles de sécurité.