PT-2025-26206 · Wegia · Wegia
Pedro-Lyrio
·
Publicado
2025-06-18
·
Atualizado
2025-06-19
·
CVE-2025-50201
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do WeGIA anteriores à 3.4.2
Descrição
O problema está relacionado a uma falha de Injeção de Comando no Sistema Operacional (OS Command Injection) no endpoint "/html/configuracao/debug info.php". O parâmetro
branch não é devidamente sanitizado antes de ser concatenado e executado em um comando de shell no sistema operacional do servidor. Isso permite que um atacante não autenticado execute comandos arbitrários no servidor com os privilégios do usuário do servidor web.Recomendações
Para versões anteriores à 3.4.2, atualize para a versão 3.4.2 para resolver o problema. Como medida temporária (workaround), considere restringir o acesso ao endpoint "/html/configuracao/debug info.php" para minimizar o risco de exploração. Evite usar o parâmetro
branch no endpoint afetado até que o problema seja resolvido.Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wegia