Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-61719

WeGIA'da historico_prontuarios.php üzerinden kalıcı siteler arası betik çalıştırma (XSS) açığı

LabRedesCefetRJ WeGIA

Yüksek 8,9 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme erişimi olan kötü niyetli bir kullanıcının diğer personelin hesaplarını ele geçirmesine yol açabilir. Hasta kayıtlarının bulunduğu bir sistemde bu risk hem veri güvenliği hem de yasal sorumluluk açısından yüksek öneme sahiptir. Yazılımın en kısa sürede güncellenmesi önerilir.

ÖzetTürkçe

WeGIA, hayır kurumları için geliştirilmiş bir web yönetim yazılımıdır. 3.8.7 sürümünden önceki sürümlerde, hasta tıbbi kayıtlarındaki textoProntuario alanı HTML ve JavaScript içeriğini yeterli temizleme yapılmadan kabul etmektedir. Bu nedenle saldırgan, kaydettiği içerik başka bir kullanıcı tarafından görüntülendiğinde kendi betiğini o kullanıcının tarayıcısında çalıştırabilir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın oturum çerezlerini çalabilir ve kurbanın yetkisine bağlı olarak hesabı ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

WeGIA is a web manager for charitable institutions. Prior to 3.8.7, a stored cross-site scripting vulnerability in saude/historico_prontuarios.php arises because the textoProntuario field accepts arbitrary HTML or JavaScript without proper sanitization. An attacker able to create or access a patient's medical record can submit the field through POST /controle/control.php with nomeClasse=SaudeControle, metodo=alterarProntuario, and id_fichamedica. The stored content is rendered when another user accesses /html/saude/historico_prontuarios.php with id_historico, automatically executing attacker-controlled JavaScript in the victim's browser. The vulnerability permits session cookie theft and potential account compromise depending on the victim's privileges. This issue is fixed in version 3.8.7.

Ne yapmalı?

  1. WeGIA yazılımını 3.8.7 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar, tıbbi kayıt metin alanlarına girilen içeriği yalnızca güvenilir kullanıcıların düzenleyebilmesini sağlayın ve yetkisiz erişimi kısıtlayın. Genel öneri
  3. Güncelleme sonrasında mevcut tıbbi kayıtlarda şüpheli HTML veya betik içeren girişleri inceleyin ve gerekirse temizleyin. Genel öneri

Ek önlemler

  • Yönetici ve sağlık personeli hesapları için güçlü parolalar kullanın ve çok faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
  • Uygulama için tarayıcı tarafında içerik güvenlik politikası (CSP) uygulamayı değerlendirin. Genel öneri
  • Web sunucu ve uygulama günlüklerini, sıradışı kayıt değişikliklerine ve kayıt görüntüleme isteklerine karşı izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
LabRedesCefetRJ WeGIA < 3.8.7 3.8.7

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.