CVE-2026-76634

Nome do Software Vulnerável e Versões Afetadas WeGIA versões anteriores a 3.9.2

Descrição Existe uma referência direta insegura a objetos (IDOR) na página de perfil do funcionário. Isso ocorre quando uma função de extração de requisição permite que o parâmetro id pessoa sobrescreva o identificador derivado da sessão. Atacantes autenticados podem explorar isso injetando o parâmetro id pessoa no endpoint 'profile funcionario.php' para enumerar identificadores de usuário e recuperar dados completos do perfil de qualquer funcionário, incluindo nomes, CPF, endereços, detalhes de contato e sinalizadores administrativos.

Recomendações Atualize o WeGIA para a versão 3.9.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'profile funcionario.php' ou evite o uso do parâmetro id pessoa até que a atualização seja aplicada.