WeGIA: Unauthentifizierte SQL-Injection im Abrechnungsformular über codigo-Parameter
Zusammenfassung
WeGIA, ein Webmanager für gemeinnützige Institutionen, enthält eine unauthentifizierte SQL-Injection in cadastro_cobranca.php. Der Parameter codigo wird ohne Validierung und ohne Parameterbindung in eine UPDATE-Anweisung eingefügt, und ein in Anführungszeichen gesetzter Wert umgeht die Typkonvertierung. Ein Angreifer kann ohne Anmeldung über manipulierte POST-Anfragen Datenbankinhalte lesen oder verändern, einschliesslich Passwort-Hashes von Benutzerkonten und Abrechnungsdaten.
Betroffen
- WeGIA-Versionen vor 3.8.6 (gemäss CNA-Daten; ein Aggregator nennt bis 3.8.5)
Behoben in
- Behoben in WeGIA 3.8.6
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers verifiziert.
- Zugriff auf den WeGIA-Host bis zum Patch per IP-Allowlist oder VPN einschränken (eigene Empfehlung, keine Herstellerangabe).
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog. EPSS sehr niedrig (rund 0.5%).
- Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung gefunden; dies beweist keine Abwesenheit.
Unsere Empfehlung
- Alle WeGIA-Instanzen identifizieren, einschliesslich Test- und Partnerinstallationen.
- Auf WeGIA 3.8.6 oder neuer aktualisieren.
- Falls ein sofortiges Patchen nicht möglich ist, die direkte Internetexposition der Anwendung entfernen.
- Webserver-Logs auf POST-Anfragen an cadastro_cobranca.php prüfen und die Tabelle cobrancas sowie die Benutzer-Tabellen mit Zugangsdaten auf unerwartete Änderungen kontrollieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-fxcc-q2j6-w2rf github.com
- WeGIA release 3.8.6 github.com
- Fix commit f819be3 github.com
- WeGIA issue #184 github.com
- WeGIA pull request #1705 github.com
- VulDB entry 420350 vuldb.com
- OpenCVE CVE-2026-55680 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:54.
Referenzen der NVD (5)
- https://github.com/LabRedesCefetRJ/WeGIA/commit/f819be361f984592c4b5a35db830495b4e2263fa
- https://github.com/LabRedesCefetRJ/WeGIA/issues/184
- https://github.com/LabRedesCefetRJ/WeGIA/pull/1705
- https://github.com/LabRedesCefetRJ/WeGIA/releases/tag/3.8.6
- https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-fxcc-q2j6-w2rf
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.