CVE-2026-33136

Reflected XSS w WeGIA — wstrzyknięcie kodu przez parametr sccd

CVSS 9.3v3.1pub. 2026-03-20

WeGIA w wersjach 3.6.6 i wcześniejszych zawiera podatność typu Reflected Cross-Site Scripting (XSS) w endpoincie listar_memorandos_ativos.php. Atakujący może wstrzyknąć dowolny kod JavaScript lub znaczniki HTML, co przy interakcji ofiary prowadzi do wykonania złośliwego kodu w jej przeglądarce.

▸ Pokaż oryginał (EN)

WeGIA is a web manager for charitable institutions. Versions 3.6.6 and below have a Reflected Cross-Site Scripting (XSS) vulnerability in the listar_memorandos_ativos.php endpoint. An attacker can inject arbitrary JavaScript or HTML tags into the sccd GET parameter, which is then directly echoed into the HTML response without any sanitization or encoding. The script /html/memorando/listar_memorandos_ativos.php handles dynamic success messages to users using query string parameters. Similar to other endpoints in the Memorando module, it checks if $_GET['msg'] equals 'success'. If this condition is met, it directly concatenates and reflects $_GET['sccd'] into an HTML alert <div>. This issue is resolved in version 3.6.7.

🤖 Analiza AI

Jak działa

Skrypt /html/memorando/listar_memorandos_ativos.php obsługuje dynamiczne komunikaty sukcesu dla użytkowników za pomocą parametrów query string. Gdy parametr GET 'msg' ma wartość 'success', aplikacja bezpośrednio konkatenuje i odbija wartość parametru GET 'sccd' w bloku HTML alert <div>, bez żadnej sanityzacji ani kodowania danych wejściowych. Atakujący może skonstruować złośliwy odnośnik URL zawierający payload w parametrze 'sccd' i nakłonić ofiarę do jego kliknięcia, co skutkuje wykonaniem wstrzykniętego kodu JavaScript w kontekście przeglądarki użytkownika. Ze względu na typ Reflected XSS, atak wymaga interakcji ofiary z przygotowanym linkiem.

Skutki

Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co umożliwia kradzież sesji, danych uwierzytelniających lub wrażliwych informacji wyświetlanych na stronie, a także przeprowadzenie dalszych ataków w kontekście zalogowanego użytkownika. Wysoki wpływ na poufność i integralność danych (CVSS C:H, I:H) wskazuje na możliwość przejęcia konta użytkownika lub manipulacji danymi w aplikacji.

Mitygacja

Należy zaktualizować WeGIA do wersji 3.6.7, w której problem został rozwiązany. Patch dostępny jest w repozytorium GitHub producenta pod adresem wskazanym w referencjach.

Kogo dotyczy

WeGIA w wersjach 3.6.6 i wcześniejszych — endpoint /html/memorando/listar_memorandos_ativos.php

Uwagi

Podatność dotyczy modułu Memorando aplikacji WeGIA — podobny wzorzec braku sanityzacji parametrów GET może występować w innych endpointach tego modułu, co warto zweryfikować po aktualizacji.