WeGIA: Unauthentifizierte SQL-Injection im Abrechnungs-Endpunkt cadastro_cobranca.php
Zusammenfassung
WeGIA, ein Webmanager für gemeinnützige Institutionen, enthält eine SQL-Injection-Schwachstelle im Endpunkt web/html/socio/sistema/cadastro_cobranca.php. Der Endpunkt erstellt SQL-Anweisungen aus POST-Parametern über extract($_REQUEST) ohne Prepared Statements. Ein entfernter Angreifer ohne Anmeldung kann beliebige SQL-Befehle ausführen, um Abrechnungsdaten und Zugangsdaten zu lesen oder zu ändern oder Tabellen zu löschen oder zu leeren.
Betroffen
- WeGIA-Versionen vor 3.8.6 (VulDB nennt bis 3.8.5)
Behoben in
- Auf WeGIA 3.8.6 oder neuer aktualisieren
Umgehung
Unbekannt. Der Hersteller veröffentlicht keinen Workaround; die Behebung ist das Update auf 3.8.6. Bis zum Update den Zugriff auf die Anwendung über Reverse Proxy oder WAF einschränken oder die Instanz vom Internet trennen.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung Status poc, automatisierbar ja, technische Auswirkung total.
- In den geprüften Quellen wurde kein öffentlicher Exploit für diese CVE gefunden.
- EPSS-Wert 0.00592.
Unsere Empfehlung
- Alle WeGIA-Instanzen prioritär auf Version 3.8.6 oder neuer aktualisieren, insbesondere die aus dem Internet erreichbaren.
- Den Zugriff auf WeGIA aus dem Internet bis zum Update einschränken.
- Die Datenbank auf unerwartete Änderungen an Abrechnungs- und Benutzertabellen prüfen und Zugriffsprotokolle auf verdächtige Anfragen an cadastro_cobranca.php untersuchen.
- Regelmässig Datenbanksicherungen erstellen und deren Wiederherstellung testen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vjxh-wcf9-4qgq github.com
- WeGIA Release 3.8.6 github.com
- Fix commit f819be3 github.com
- WeGIA Issue #184 github.com
- WeGIA Pull Request #1705 github.com
- OpenCVE CVE-2026-55683 app.opencve.io
- VulDB 420351 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:55.
Referenzen der NVD (6)
- https://github.com/LabRedesCefetRJ/WeGIA/commit/f819be361f984592c4b5a35db830495b4e2263fa
- https://github.com/LabRedesCefetRJ/WeGIA/issues/184
- https://github.com/LabRedesCefetRJ/WeGIA/pull/1705
- https://github.com/LabRedesCefetRJ/WeGIA/releases/tag/3.8.6
- https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-vjxh-wcf9-4qgq
- https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-vjxh-wcf9-4qgq
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.