Descripción
WeGIA es un gestor web para instituciones de beneficencia. En versiones anteriores a 3.8.6, el endpoint no autenticado web/html/socio/sistema/cadastro_cobranca.php acepta entradas POST mediante extract($_REQUEST) e incorpora directamente valor, valor_pago, id_pessoa, id_socio e id_sociotipo en sentencias UPDATE, INSERT y SELECT sin usar sentencias preparadas. Un atacante remoto puede usar los parámetros afectados para ejecutar SQL arbitrario que lee o modifica el contenido de la base de datos de WeGIA, incluidos registros de cobro y datos de credenciales. El mismo acceso SQL permite eliminar o truncar tablas, lo que provoca la pérdida de datos de la aplicación. Este problema está corregido en la versión 3.8.6.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- WeGIA Afectadas: < 3.8.6
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-vjxh-wcf9-4…
- Referencia en github.comgithub.com/LabRedesCefetRJ/WeGIA/issues/184
- Referencia en github.comgithub.com/LabRedesCefetRJ/WeGIA/pull/1705
- Referencia en github.comgithub.com/LabRedesCefetRJ/WeGIA/commit/f819be361f984592c4b5a35db8304…
- Referencia en github.comgithub.com/LabRedesCefetRJ/WeGIA/releases/tag/3.8.6
Ver el texto original en inglés (CVE.org)
WeGIA: SQL Injection in html/socio/sistema/cadastro_cobranca.php
WeGIA is a web manager for charitable institutions. Prior to 3.8.6, the unauthenticated web/html/socio/sistema/cadastro_cobranca.php endpoint accepts POST input through extract($_REQUEST) and directly incorporates valor, valor_pago, id_pessoa, id_socio, and id_sociotipo into UPDATE, INSERT, and SELECT statements without prepared statements. A remote attacker can use the affected parameters to execute arbitrary SQL that reads or modifies WeGIA database content, including billing records and credential data. The same SQL access can delete or truncate tables, causing loss of application data. This issue is fixed in version 3.8.6.