PT-2025-28219 · Wegia · Wegia

Pedro-Lyrio · Publicado 2025-07-07 · Atualizado 2025-07-07 · CVE-2025-53529

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Versões do WeGIA anteriores à 3.4.3

Descrição: Um problema crítico foi identificado no WeGIA, um gerenciador web para instituições beneficentes. O endpoint /html/funcionario/profile funcionario.php é vulnerável devido ao parâmetro id funcionario não ser devidamente sanitizado ou validado antes de ser usado em uma consulta SQL. Isso permite que um atacante não autenticado injete comandos SQL arbitrários.

Recomendações: Para versões anteriores à 3.4.3, atualize para a versão 3.4.3 para resolver o problema. Como medida temporária, considere restringir o acesso ao endpoint /html/funcionario/profile funcionario.php até que a atualização seja aplicada. Além disso, evite usar o parâmetro id funcionario no endpoint afetado até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-53529

GHSA-RRJ6-PJ6W-8J2R

Produtos afetados

Wegia

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/53xxx/CVE-2025-53529.json · Exploit
• https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-rrj6-pj6w-8j2r · Aviso do Fabricante
• https://github.com/LabRedesCefetRJ/WeGIA/commit/0a061bcc5024937edd18ab3e65ccc8f38deb6957 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-53529 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-53529 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/1942269851684229429 · Publicação no Twitter
• https://twitter.com/cybercronai/status/1942283178049196365 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1942296827962720664 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1942271222932463934 · Publicação no Twitter