WeGIA heeft een Stored XSS in listar_despachos.php

CVE-2026-40284 treft WeGIA, een webmanager voor goede doelen. Deze kwetsbaarheid is een Stored Cross-Site Scripting (XSS) bug die een geauthenticeerde gebruiker in staat stelt om kwaadaardige JavaScript-code in te voegen via het veld 'Destinatário' (Ontvanger). De payload wordt opgeslagen en vervolgens uitgevoerd bij het bekijken van de verzendpagina, wat mogelijk andere gebruikers kan beïnvloeden. De CVSS-score is 6.8, wat een gemiddeld risico aangeeft. De opgeslagen aard van de kwetsbaarheid betekent dat de aanval kan blijven bestaan en meerdere gebruikers kan beïnvloeden zonder dat herhaalde invoeging nodig is. Dit kan leiden tot diefstal van inloggegevens, manipulatie van gegevens of doorverwijzing naar kwaadaardige websites. De ernst van de impact hangt af van de privileges van de getroffen gebruiker en de gevoeligheid van de gegevens die door WeGIA worden verwerkt.

Charitable institutions and organizations utilizing WeGIA version 3.6.0 through 3.6.10 are at risk. Specifically, organizations with multiple authenticated users and those who rely on WeGIA for managing beneficiary information and donations are particularly vulnerable. Shared hosting environments where multiple WeGIA instances reside on the same server could also amplify the impact of a successful attack.

• php: Examine WeGIA application logs for suspicious JavaScript injection attempts in the 'Destinatário' field. Look for patterns like <script> tags or javascript: URLs.

grep -i 'javascript:|script' /var/log/apache2/access.log | grep 'wegia'

• generic web: Use curl to test the dispatch page with a simple XSS payload in the 'Destinatário' field and observe the response for signs of script execution.

curl -X POST -d "Destinatario=<script>alert('XSS')</script>" http://wegia-instance/dispatch.php

• generic web: Check the HTML source code of the dispatch page for any injected JavaScript code. Inspect the 'Destinatário' field for unexpected script tags.

1. 2026-04-17Disclosure

   disclosure

1. Gereserveerd2026-04-10
2. Gepubliceerd2026-04-17
3. Gewijzigd2026-04-20
4. EPSS bijgewerkt2026-04-25

De oplossing voor CVE-2026-40284 is het updaten van WeGIA naar versie 3.6.10 of hoger. Deze versie bevat een fix die de XSS-kwetsbaarheid verhelpt. Het wordt aanbevolen om deze update zo snel mogelijk toe te passen, vooral als WeGIA door meerdere gebruikers wordt gebruikt of gevoelige informatie verwerkt. Controleer bovendien de auditlogs op tekenen van eerdere aanvallen en neem corrigerende maatregelen. Het implementeren van robuuste beveiligingsbeleid, zoals invoervalidatie en -sanering, kan helpen om toekomstige XSS-kwetsbaarheden te voorkomen. Regelmatige penetratietests zijn ook een goede praktijk om potentiële beveiligingslekken te identificeren en te herstellen.