WeGIA に `listar_memorandos_ativos.php` の `sccd` パラメータを介したリフレクテッド クロスサイトスクリプティング (XSS) の脆弱性が存在します

このXSS脆弱性は、攻撃者がWeGIAのlistarmemorandosativos.phpエンドポイントのsccd GETパラメータに悪意のあるJavaScriptコードを注入することで悪用されます。注入されたスクリプトは、ユーザーのブラウザで実行され、セッションハイジャック、フィッシング攻撃、またはWebサイトの改ざんにつながる可能性があります。攻撃者は、機密情報（ログイン認証情報など）を盗み出したり、ユーザーを悪意のあるWebサイトにリダイレクトしたり、Webサイトの見た目を変更してユーザーを欺くことができます。この脆弱性の悪用は、慈善団体の評判を損ない、ユーザーの信頼を失う可能性があります。

Charitable institutions using WeGIA versions 3.6.6 and earlier are at significant risk. Organizations relying on WeGIA for managing donor information or beneficiary data are particularly vulnerable, as a successful XSS attack could lead to data breaches and reputational damage. Shared hosting environments where multiple websites share the same server resources may also be affected if one website is compromised.

• php: Examine access logs for requests to /html/memorando/listarmemorandosativos.php containing unusual or obfuscated characters in the sccd GET parameter.

grep 'sccd=[a-zA-Z0-9><"\;]+' /var/log/apache2/access.log

• generic web: Use curl to test the endpoint with a simple XSS payload and observe the response.

curl 'http://wegia-server/html/memorando/listar_memorandos_ativos.php?sccd=<script>alert("XSS")</script>' 

• generic web: Check response headers for missing or incorrect Content-Security-Policy (CSP) directives, which could allow XSS attacks to succeed.

1. 2026-03-20Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-03-20
3. EPSS 更新日2026-03-27

この脆弱性への最善の対応は、WeGIAをバージョン3.6.7以降にアップデートすることです。アップデートがすぐに利用できない場合、WAF（Web Application Firewall）を使用して、悪意のあるJavaScriptコードの注入を試みるリクエストをブロックすることを検討してください。また、入力検証と出力エンコーディングを強化することで、XSS攻撃のリスクを軽減できます。Webサーバーのアクセスログを監視し、異常なリクエストパターンを検出することも有効です。