WeGIA: Unauthentifizierte SQL-Injection im Endpunkt zur Rechnungserstellung
Zusammenfassung
WeGIA, ein Webmanager für gemeinnützige Institutionen, enthält eine SQL-Injection-Schwachstelle im Abrechnungsendpunkt cadastro_cobrancas_geracao.php. Anfrageparameter werden über extract($_REQUEST) übernommen und ohne ausreichende Maskierung in ein direktes INSERT-Statement eingefügt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann beliebige SQL-Befehle ausführen, um Abrechnungs-, Mitglieder-, Mitarbeiter-, Berechtigungs- und Zugangsdaten zu lesen oder zu verändern oder Datenbanktabellen zu löschen.
Betroffen
- LabRedesCefetRJ WeGIA Versionen vor 3.8.6
- Endpunkt: web/html/socio/sistema/cadastro_cobrancas_geracao.php
Behoben in
- Behoben in WeGIA 3.8.6
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Bis zum Update den Zugriff auf den betroffenen Pfad über Reverse Proxy oder WAF einschränken.
- Die Berechtigungen des Datenbankkontos einschränken.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof-of-Concept-Exploit zu dieser CVE gefunden.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
- Der Pfad des Endpunkts ist über Suchmaschinen leicht auffindbar.
Unsere Empfehlung
- Alle WeGIA-Instanzen und deren Versionen erfassen, auch solche aus dem Internet erreichbaren.
- Auf WeGIA 3.8.6 oder neuer aktualisieren.
- Bis dahin den Zugriff auf die betroffenen Pfade einschränken und die Datenbankprotokolle auf unerwartete INSERT- oder Fehlermuster prüfen.
- Sicherstellen, dass aktuelle Backups vorhanden sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-g2hm-m6gw-fcgg github.com
- WeGIA Release 3.8.6 github.com
- Fix commit 38cb19b github.com
- Pull request #1705 github.com
- Issue #183 github.com
- VulDB entry 420363 vuldb.com
- OpenCVE CVE-2026-55684 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:55.
Referenzen der NVD (5)
- https://github.com/LabRedesCefetRJ/WeGIA/commit/38cb19baeee90b334817fb9b40f967996c9ee36b
- https://github.com/LabRedesCefetRJ/WeGIA/issues/183
- https://github.com/LabRedesCefetRJ/WeGIA/pull/1705
- https://github.com/LabRedesCefetRJ/WeGIA/releases/tag/3.8.6
- https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-g2hm-m6gw-fcgg
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.