Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-352
  • CWE-639

CVE-2026-61671

WeGIA: Kayıt sahipliği denetimi eksik IDOR ve CSRF koruması eksik (3.8.7 öncesi)

LabRedesCefetRJ WeGIA

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, kurum yönetim sisteminde kullanıcıların birbirinin kayıtlarına erişmesine ve bunları değiştirmesine olanak tanır. Yardım alan kişilerin, çalışanların ve gönüllülerin kimlik, adres, sağlık ve mali bilgileri risk altındadır. Yasal yükümlülükler ve güven kaybı açısından yüksek risk taşıdığı için yazılımın güncellenmesi acildir.

ÖzetTürkçe

WeGIA, hayır kurumları için geliştirilmiş bir web yönetim yazılımıdır. Sürüm 3.8.7 öncesinde, /controle/control.php üzerinden gelen istekler kullanıcı kontrollü parametreleri extract($_REQUEST) ile doğrudan işlemektedir ve ilgili Controle sınıflarının birçok metodu kayıt sahipliğini doğrulamamaktadır. Atendido, İnterno, Funcionario ve Voluntario kayıtlarını yöneten sınıflar bu sorundan etkilenmektedir; Atendido ve İnterno sınıflarında ayrıca CSRF doğrulaması bulunmamaktadır.

Saldırgan ne yapabilir?

Kimlik doğrulaması yapılmış herhangi bir kullanıcı, başkasına ait kayıtları görüntüleyebilir, değiştirebilir veya silebilir; CPF, RG, adres, tıbbi kayıt ve çalışan bilgilerine erişilebilir. Oturum açmış bir kullanıcı ziyaret ettiği kötü niyetli bir sayfa aracılığıyla da işlem yaptırılabilir.

Kaynaktaki açıklama (İngilizce)

WeGIA is a web manager for charitable institutions. Prior to the advisory's stated patched version 3.8.7, the /controle/control.php dispatch endpoint accepts attacker-controlled nomeClasse, metodo, and record identifier parameters through extract($_REQUEST), including id, idatendido, idInterno, and id_funcionario, while the affected Controle CRUD methods do not verify record ownership. Any authenticated user can view, modify, or delete another user's records, exposing CPF, RG, addresses, medical records, financial data, and employee records. AtendidoControle lacks ownership checks on alterar, excluir, listarUm, alterarInfPessoal, alterarDocumentacao, alterarImagem, alterarEndereco, and alterarStatus; InternoControle lacks them on incluir, alterar, excluir, listarUm, listarTodos, and listarCpf. FuncionarioControle lacks ownership checks on alterarInfPessoal, alterarEndereco, alterarDocumentacao, alterarImagem, alterarCargaHoraria, and excluir; VoluntarioControle lacks them on alterarInfPessoal, alterarEndereco, alterarDetalhes, alterarImagem, and excluir. AtendidoControle and InternoControle additionally lack CSRF validation, allowing a malicious page visited by an authenticated victim to perform state-changing operations using the victim's session. FuncionarioControle and VoluntarioControle have per-method CSRF checks, but those checks do not prevent the object-authorization bypass. The advisory identifies version 3.8.7 as patched.

Ne yapmalı?

  1. Yazılımı, güvenlik danışmanında düzeltilmiş olarak belirtilen 3.8.7 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncellemeden önce sistemi, kullanıcı hesaplarını ve erişim yetkilerini gözden geçirin; gereksiz kullanıcı hesaplarını devre dışı bırakın. Genel öneri
  3. Güncelleme yapılamıyorsa, /controle/control.php erişimini yalnızca güvenilir iç ağ veya yetkili kullanıcılarla sınırlayın. Genel öneri
  4. Güncelleme sonrasında kayıt erişim ve değişiklik kayıtlarını inceleyerek yetkisiz işlem olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • Kullanıcı girdilerini extract($_REQUEST) gibi yapılarla doğrudan değişkenlere atamak yerine açık ve beyaz liste tabanlı parametre kullanımına geçilmesini sağlayın. Genel öneri
  • Her kayıt işleminde, işlemi yapan kullanıcının o kayda erişim yetkisi olup olmadığını sunucu tarafında doğrulayın. Genel öneri
  • Durum değiştiren tüm form ve isteklerde CSRF belirteci kullanıldığından emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
LabRedesCefetRJ WeGIA < 3.8.7 3.8.7

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.