WeGIA には、任意のコード実行と UI の書き換えを可能にする、リフレクテッド クロスサイトスクリプティング (XSS) の脆弱性が存在します。

この XSS 脆弱性は、攻撃者が WeGIA Web Manager を利用しているユーザーのブラウザ上で任意の JavaScript コードを実行することを可能にします。攻撃者は、セッションハイジャック、機密情報の窃取、または悪意のあるリダイレクトを実行する可能性があります。特に、管理者権限を持つユーザーが標的にされると、システム全体への影響が及ぶ可能性があります。この脆弱性は、類似の XSS 脆弱性と同様に、ユーザーの認証情報を盗み出し、不正な操作を実行するために悪用される可能性があります。

Charitable institutions and organizations utilizing WeGIA version 3.6.2 or earlier are at significant risk. This includes organizations relying on WeGIA for donor management, financial tracking, and other critical operations. Shared hosting environments where multiple organizations share the same server infrastructure are particularly vulnerable, as a compromise of one WeGIA instance could potentially impact others.

• php: Examine the html/memorando/inseredespacho.php file for inadequate input sanitization of the idmemorando parameter. • generic web: Monitor access logs for requests containing JavaScript code in the idmemorando parameter (e.g., ?idmemorando=<script>alert('XSS')</script>). • generic web: Check response headers for signs of JavaScript injection. • generic web: Use curl to test the endpoint with a simple XSS payload: curl 'http://wegia-instance.com/html/memorando/inseredespacho.php?idmemorando=<script>alert("XSS")</script>'

1. 2026-01-16Disclosure

   disclosure

1. 予約済み2026-01-15
2. 公開日2026-01-16
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、まず WeGIA Web Manager をバージョン 3.6.2 以降にアップデートすることを推奨します。アップデートが困難な場合は、Web アプリケーションファイアウォール (WAF) を導入し、id_memorando パラメータに対する XSS 攻撃をブロックするルールを設定してください。また、入力検証を強化し、HTML エンコードを適切に適用することで、脆弱性の悪用を軽減できます。アップデート後、WeGIA Web Manager のログを確認し、不正なアクセスやスクリプトの実行がないか確認してください。