CVE-2026-61671

اسم البرنامج المصاب والإصدارات المتأثرة WeGIA الإصدارات السابقة لـ 3.8.7

Description يقبل نقطة النهاية /controle/control.php معاملات يتحكم فيها المهاجم وهي nomeClasse و metodo ومعرفات السجلات مثل id و idatendido و idInterno و id funcionario عبر extract($ REQUEST). وبسبب عدم التحقق من ملكية السجلات في العديد من طرق Controle CRUD، يمكن للمستخدمين المصرح لهم عرض أو تعديل أو حذف سجلات مستخدمين آخرين، مما يؤدي إلى كشف بيانات حساسة تشمل CPF و RG والعناوين والسجلات الطبية والبيانات المالية وسجلات الموظفين. على وجه التحديد، تفتقر AtendidoControle إلى فحوصات الملكية في alterar() و excluir() و listarUm() و alterarInfPessoal() و alterarDocumentacao() و alterarImagem() و alterarEndereco() و alterarStatus()؛ وتفتقر InternoControle إليها في incluir() و alterar() و excluir() و listarUm() و listarTodos() و listarCpf()؛ وتفتقر FuncionarioControle إليها في alterarInfPessoal() و alterarEndereco() و alterarDocumentacao() و alterarImagem() و alterarCargaHoraria() و excluir()؛ وتفتقر VoluntarioControle إليها في alterarInfPessoal() و alterarEndereco() و alterarDetalhes() و alterarImagem() و excluir(). بالإضافة إلى ذلك، فإن AtendidoControle و InternoControle عرضة لتزوير الطلبات عبر المواقع (CSRF)، وهي حالة يمكن فيها لصفحة خبيثة إجبار مستخدم مصرح له على تنفيذ إجراءات غير مرغوب فيها. وبينما تطبق FuncionarioControle و VoluntarioControle فحوصات CSRF لكل طريقة، فإن هذه الفحوصات لا تمنع تجاوز تفويض الكائن.

Recommendations التحديث إلى الإصدار 3.8.7.