CVE-2026-40286 描述了 WeGIA 慈善机构网络管理工具中存在的存储型跨站脚本攻击 (XSS) 漏洞。攻击者可以通过恶意脚本注入到“会员注册”功能的“会员姓名”字段中，将脚本持久化存储在数据库中。随后，当任何用户访问相关 URL 时，该脚本将被执行，可能导致敏感信息泄露或恶意行为。该漏洞影响 WeGIA 3.6.0 至 3.6.10 版本，已于 3.6.10 版本修复。
该 XSS 漏洞允许攻击者在受影响的 WeGIA 系统中执行任意 JavaScript 代码。攻击者可以利用此漏洞窃取用户会话 Cookie，从而冒充合法用户执行操作。此外，攻击者还可以利用此漏洞重定向用户到恶意网站，进行钓鱼攻击，或篡改网站内容，传播虚假信息。由于脚本存储在数据库中，攻击者可以影响所有访问相关 URL 的用户，造成广泛的影响。类似 XSS 漏洞可能导致用户数据泄露、系统被劫持等严重后果。
目前尚未公开发现针对 CVE-2026-40286 的公开利用代码 (PoC)。该漏洞已添加到 CISA KEV 目录中，表明其具有中等概率被利用。建议密切关注安全社区的动态，及时获取最新的威胁情报。
漏洞利用状态
EPSS
0.04% (12% 百分位)
CISA SSVC
最有效的缓解措施是立即将 WeGIA 升级至 3.6.10 版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：首先，对“会员姓名”字段进行输入验证和过滤，阻止包含恶意脚本的输入。其次，配置 Web 应用防火墙 (WAF) 或代理服务器，拦截包含恶意脚本的请求。第三，定期审查 WeGIA 的配置，确保其安全性。升级后，请验证漏洞是否已成功修复，例如通过尝试注入恶意脚本并确认其未被执行。
Actualice WeGIA a la versión 3.6.10 o posterior para mitigar la vulnerabilidad de XSS. La actualización corrige la forma en que se manejan los datos de entrada en el campo 'Nombre Sócio', evitando el almacenamiento y ejecución de scripts maliciosos.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-40286 是 WeGIA 慈善机构网络管理工具中发现的存储型跨站脚本攻击 (XSS) 漏洞，影响 3.6.0 至 3.6.10 版本。攻击者可以通过恶意脚本注入到“会员姓名”字段中，存储至数据库，用户访问相关 URL 时触发执行。
如果您正在使用 WeGIA 3.6.0 至 3.6.10 版本，则可能受到此漏洞的影响。请立即检查您的版本并升级至 3.6.10 版本。
最有效的修复方法是立即将 WeGIA 升级至 3.6.10 版本。如果无法立即升级，请实施输入验证和过滤，并配置 WAF 或代理服务器。
目前尚未公开发现针对 CVE-2026-40286 的公开利用代码，但已添加到 CISA KEV 目录中，表明其具有中等概率被利用。
请访问 WeGIA 官方网站或安全公告页面，查找关于 CVE-2026-40286 的官方公告。
CVSS 向量