WeGIAにlistar_despachos.phpに保存型XSSの脆弱性があります

CVE-2026-40284 は、慈善団体向けのWebマネージャーである WeGIA に影響を与えます。この脆弱性は、認証されたユーザーが「Destinatário」（宛先）フィールドを通じて悪意のあるJavaScriptコードを挿入できる、Stored Cross-Site Scripting (XSS) の脆弱性です。ペイロードは保存され、後で送信ページを表示する際に実行されるため、他のユーザーに影響を与える可能性があります。CVSSスコアは6.8で、中程度のリスクを示します。この脆弱性の保存された性質により、攻撃は再挿入なしに複数ユーザーに影響を与える可能性があります。これにより、資格情報の窃盗、データ操作、または悪意のあるサイトへのリダイレクトが発生する可能性があります。影響の重大度は、影響を受けたユーザーの権限と WeGIA が処理するデータの機密性によって異なります。

Charitable institutions and organizations utilizing WeGIA version 3.6.0 through 3.6.10 are at risk. Specifically, organizations with multiple authenticated users and those who rely on WeGIA for managing beneficiary information and donations are particularly vulnerable. Shared hosting environments where multiple WeGIA instances reside on the same server could also amplify the impact of a successful attack.

• php: Examine WeGIA application logs for suspicious JavaScript injection attempts in the 'Destinatário' field. Look for patterns like <script> tags or javascript: URLs.

grep -i 'javascript:|script' /var/log/apache2/access.log | grep 'wegia'

• generic web: Use curl to test the dispatch page with a simple XSS payload in the 'Destinatário' field and observe the response for signs of script execution.

curl -X POST -d "Destinatario=<script>alert('XSS')</script>" http://wegia-instance/dispatch.php

• generic web: Check the HTML source code of the dispatch page for any injected JavaScript code. Inspect the 'Destinatário' field for unexpected script tags.

1. 2026-04-17Disclosure

   disclosure

1. 予約済み2026-04-10
2. 公開日2026-04-17
3. 更新日2026-04-20
4. EPSS 更新日2026-04-25

CVE-2026-40284 の解決策は、WeGIA をバージョン 3.6.10 以降に更新することです。このバージョンには、XSS 脆弱性を軽減する修正が含まれています。特に WeGIA を複数のユーザーが使用している場合や機密情報を処理している場合は、この更新プログラムをできるだけ早く適用することをお勧めします。さらに、監査ログを確認して、以前の攻撃の兆候がないか確認し、是正措置を講じてください。堅牢なセキュリティポリシー（入力検証とサニタイズなど）を実装することで、将来の XSS 脆弱性を防止できます。定期的なペネトレーションテストも、潜在的なセキュリティの欠陥を特定して修正するための優れたプラクティスです。