平台
php
组件
wegia
修复版本
3.6.10
CVE-2026-35396 is an Open Redirect vulnerability affecting WeGIA, a web manager for charitable institutions. This flaw allows attackers to redirect users to malicious external websites through the /WeGIA/controle/control.php endpoint, potentially enabling phishing attacks and credential theft. The vulnerability impacts versions 3.6.0 through 3.6.8 and has been resolved in version 3.6.9.
WeGIA的CVE-2026-35396漏洞，由于存在开放重定向漏洞，对慈善机构的Web管理器构成了重大风险。在3.6.9版本之前，/WeGIA/controle/control.php端点中的'nextPage'参数，当与'metodo=listarId'和'nomeClasse=IsaidaControle'结合使用时，未得到适当的验证。这使得攻击者能够将用户重定向到任意外部网站。潜在影响包括针对WeGIA用户的定向网络钓鱼攻击、凭据盗窃以及通过恶意重定向潜在地分发恶意软件。使用WeGIA且未升级到3.6.9版本的慈善机构尤其脆弱。应用程序处理捐赠者和组织敏感信息这一特性，放大了成功攻击的风险。
攻击者可以通过创建包含'nextPage'参数的操纵值的恶意链接来利用此漏洞。单击此链接会将合法的WeGIA用户重定向到攻击者控制的网站。该网站可以模仿合法的WeGIA登录页面，诱骗用户输入其凭据。或者，攻击者可以将用户重定向到分发恶意软件的网站。由于重定向发生在WeGIA应用程序的上下文中，因此此漏洞尤其令人担忧，这可能会增加用户对恶意链接的信任。
漏洞利用状态
EPSS
0.03% (8% 百分位)
CISA SSVC
减轻CVE-2026-35396的主要解决方案是将WeGIA升级到3.6.9版本或更高版本。此更新通过实现'nextPage'参数的适当验证来修复漏洞。此外，建议实施额外的安全措施，例如在重定向之前验证URL完整性、使用内容安全策略（CSP）来限制内容来源，以及培训员工识别网络钓鱼攻击。监控服务器日志中是否存在可疑的重定向模式也有助于检测和响应潜在的利用尝试。应尽快执行升级以最大程度地降低暴露风险。
Actualice el módulo WeGIA a la versión 3.6.9 o superior para mitigar la vulnerabilidad de redirección abierta. La versión corregida valida adecuadamente el parámetro 'nextPage', evitando que los atacantes redirijan a los usuarios a sitios web externos maliciosos. Asegúrese de realizar una copia de seguridad de su configuración antes de actualizar.
漏洞分析和关键警报直接发送到您的邮箱。
WeGIA是为帮助慈善机构管理其运营而设计的Web管理器。
3.6.9版本修复了开放重定向漏洞（CVE-2026-35396），该漏洞可能导致网络钓鱼攻击和数据盗窃。
实施额外的安全措施，例如CSP，并监控服务器日志。
对意外的链接保持警惕，尤其是那些要求个人信息或凭据的链接。
请参阅WeGIA官方文档和网络安全信息来源。