WeGIA: Session Fixation und Offenlegung des Datenbank-Hosts im Session-Handler

Zusammenfassung

WeGIA, ein Webmanager für karitative Institutionen, weist einen Fehler im automatisch eingebundenen Session-Handler (sessionStart.php) auf. Dieser übernimmt einen vom Benutzer gelieferten PHPSESSID-Cookie in eine Set-Cookie-Antwort und verwendet den Datenbank-Hostnamen als Cookie-Domain, wodurch auch der interne DB_HOST-Wert offengelegt wird. Ein Angreifer kann eine Session-ID vorgeben, mit der sich ein Opfer anmeldet, und diese anschliessend wiederverwenden, um die authentifizierte Session zu übernehmen. Der Handler betrifft alle PHP-Seiten.

Betroffen

• WeGIA-Versionen vor 3.8.6
• VulDB gibt den Bereich bis 3.8.5 an

Behoben in

• Behoben in WeGIA 3.8.6
• Version 3.8.7 ist die aktuelle Version und enthält ebenfalls die Korrektur

Umgehung

• Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Das Aktualisieren ist die dokumentierte Behebung.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc' (Proof of Concept vorhanden), Automatisierbar: nein, technische Auswirkung: total.
• Nicht in der CISA KEV gelistet.
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle WeGIA-Instanzen identifizieren und prüfen, ob sie aus dem Internet erreichbar sind.
• Auf WeGIA 3.8.7 (mindestens 3.8.6) aktualisieren.
• Session-Einstellungen prüfen und den Zugriff auf die Anwendung nach Möglichkeit einschränken.
• Anmeldungen bis zur Aktualisierung auf ungewöhnliche Session-Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-5xhr-jrv8-j4j2 github.com
• Fix commit f59cad3 github.com
• WeGIA release 3.8.6 github.com
• WeGIA issue #221 github.com
• OpenCVE CVE-2026-55682 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:03.