WeGIA: SQL-Injection im Modul Material & Patrimônio

Zusammenfassung

WeGIA, ein Webmanager für gemeinnützige Institutionen, enthält eine SQL-Injection im Modul Material & Patrimônio. Ein zweiter Aufruf von extract($_REQUEST) überschreibt einen zuvor mit intval() bereinigten Eingabewert, sodass der unbereinigte Wert in SQL-UPDATE-Anweisungen gelangt. Ein authentifizierter Benutzer mit Zugriff auf dieses Modul kann beliebigen SQL-Code ausführen, was das Auslesen sensibler Datenbankeinträge sowie das Ändern von Inventar- und Institutionsdaten ermöglicht.

Betroffen

• WeGIA-Versionen vor 3.8.6
• Datei: web/html/matPat/restaurar_produto_desocultar.php

Behoben in

• Aktualisierung auf WeGIA 3.8.6 oder neuer (die Recherchenotizen weisen auf eine neuere Version 3.8.7 für andere CVEs hin; die neueste Version verwenden)

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Falls ein Update verzögert wird:

• Zugriff auf das Modul Material & Patrimônio auf vertrauenswürdiges Personal beschränken
• Datenbankberechtigungen überprüfen

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden
• CISA SSVC führt die Ausnutzung als "poc" und die Automatisierbarkeit als "no"
• EPSS-Wert ist niedrig (0.00569)

Unsere Empfehlung

• WeGIA so bald wie möglich auf die neueste Version aktualisieren
• Prüfen, ob WeGIA aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken
• Konten von Mitarbeitenden und Freiwilligen überprüfen, gemeinsam genutzte oder schwache Zugangsdaten entfernen und das Least-Privilege-Prinzip durchsetzen
• Datenbankkonten überprüfen und Daten vor und nach dem Update sichern
• Logs auf ungewöhnliche Datenbankabfragen im Modul Material & Patrimônio überwachen
• Beachten, dass CVE-2026-55680 und CVE-2026-55684 nicht authentifizierte SQL-Injections sind, die in 3.8.6 behoben wurden, was das Update dringlicher macht

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9q8x-jqpj-23xp github.com
• WeGIA release 3.8.6 github.com
• Fix commit 8fa3dfc github.com
• WeGIA issue #99 github.com
• OSV entry CVE-2026-55681 osv.dev
• VulDB entry 420361 vuldb.com
• OpenCVE CVE-2026-55681 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:37.