WeGIA tem XSS armazenado em listar_despachos.php

CVE-2026-40284 afeta o WeGIA, um gerenciador web para instituições de caridade. A vulnerabilidade de Cross-Site Scripting (XSS) armazenado permite que um usuário autenticado injete código JavaScript malicioso através do campo 'Destinatário'. Este código é armazenado e executado posteriormente ao visualizar a página de envio, impactando potencialmente outros usuários. O score CVSS é 6.8, indicando um risco médio. A natureza armazenada da vulnerabilidade significa que o ataque pode persistir e afetar múltiplos usuários sem a necessidade de uma nova injeção. Isso pode resultar no roubo de credenciais, manipulação de dados ou redirecionamento para sites maliciosos. A gravidade do impacto depende dos privilégios do usuário afetado e da sensibilidade das informações gerenciadas pelo WeGIA.

Charitable institutions and organizations utilizing WeGIA version 3.6.0 through 3.6.10 are at risk. Specifically, organizations with multiple authenticated users and those who rely on WeGIA for managing beneficiary information and donations are particularly vulnerable. Shared hosting environments where multiple WeGIA instances reside on the same server could also amplify the impact of a successful attack.

• php: Examine WeGIA application logs for suspicious JavaScript injection attempts in the 'Destinatário' field. Look for patterns like <script> tags or javascript: URLs.

grep -i 'javascript:|script' /var/log/apache2/access.log | grep 'wegia'

• generic web: Use curl to test the dispatch page with a simple XSS payload in the 'Destinatário' field and observe the response for signs of script execution.

curl -X POST -d "Destinatario=<script>alert('XSS')</script>" http://wegia-instance/dispatch.php

• generic web: Check the HTML source code of the dispatch page for any injected JavaScript code. Inspect the 'Destinatário' field for unexpected script tags.

1. 2026-04-17Disclosure

   disclosure

1. Reservado2026-04-10
2. Publicada2026-04-17
3. Modificada2026-04-20
4. EPSS atualizado2026-04-25

A solução para CVE-2026-40284 é atualizar o WeGIA para a versão 3.6.10 ou posterior. Esta versão inclui uma correção que mitiga a vulnerabilidade XSS. Recomenda-se aplicar esta atualização o mais rápido possível, especialmente se a aplicação WeGIA for utilizada por múltiplos usuários ou gerenciar informações sensíveis. Além disso, recomenda-se revisar os logs de auditoria para detectar possíveis ataques anteriores e tomar medidas corretivas. Implementar políticas de segurança robustas, como a validação e o saneamento de entradas de usuário, pode ajudar a prevenir futuras vulnerabilidades XSS. Realizar testes de penetração periódicos também é uma boa prática para identificar e corrigir possíveis falhas de segurança.