CVE-2026-61671

Nome do Software Vulnerável e Versões Afetadas WeGIA versões anteriores a 3.8.7

Description O endpoint /controle/control.php aceita parâmetros controlados por atacantes nomeClasse, metodo e identificadores de registro como id, idatendido, idInterno e id funcionario via extract($ REQUEST). Devido à falta de verificação de propriedade de registros em vários métodos Controle CRUD, usuários autenticados podem visualizar, modificar ou excluir registros de outros usuários, expondo dados sensíveis, incluindo CPF, RG, endereços, registros médicos, dados financeiros e registros de funcionários. Especificamente, AtendidoControle carece de verificações de propriedade em alterar(), excluir(), listarUm(), alterarInfPessoal(), alterarDocumentacao(), alterarImagem(), alterarEndereco() e alterarStatus(); InternoControle carece delas em incluir(), alterar(), excluir(), listarUm(), listarTodos() e listarCpf(); FuncionarioControle carece delas em alterarInfPessoal(), alterarEndereco(), alterarDocumentacao(), alterarImagem(), alterarCargaHoraria() e excluir(); e VoluntarioControle carece delas em alterarInfPessoal(), alterarEndereco(), alterarDetalhes(), alterarImagem() e excluir(). Além disso, AtendidoControle e InternoControle são suscetíveis a Cross-Site Request Forgery (CSRF), uma condição em que uma página maliciosa pode forçar um usuário autenticado a executar ações indesejadas. Embora FuncionarioControle e VoluntarioControle implementem verificações de CSRF por método, estas não impedem a falha de autorização de objeto.

Recommendations Atualizar para a versão 3.8.7.