严重性: 中危
类型: 漏洞
CVE编号: CVE-2026-23724
WeGIA 是一个面向慈善机构的网络管理器。在 3.6.2 版本之前，WeGIA 应用的 html/atendido/cadastro_ocorrencia.php 端点中存在一个存储型跨站脚本(XSS)漏洞。该应用在将用户可控的数据渲染到“Atendido”选择下拉框之前未对其进行清理。此漏洞已在 3.6.2 版本中修复。
技术摘要
CVE-2026-23724 指出 LabRedesCefetRJ 开发的 WeGIA 网络管理系统中存在一个存储型跨站脚本(XSS)漏洞，具体影响 3.6.2 之前的版本。该漏洞位于 html/atendido/cadastro_ocorrencia.php 端点，用户提供的数据在未经过适当清理或编码的情况下被合并到“Atendido”下拉选择框中。这种输入的不当中和(CWE-79)使得拥有低权限的攻击者能够注入恶意 JavaScript 代码，该代码存储在服务器上，并在访问受影响页面的用户浏览器中执行。CVSS 向量 (AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N) 表明攻击可通过网络远程执行，攻击复杂度低，只需要低权限，且无需用户交互。影响仅限于机密性，注入的脚本可能窃取会话 Cookie 或其他敏感信息，但不影响完整性或可用性。尽管尚未观察到公开的利用代码，该漏洞对依赖 WeGIA 管理慈善机构数据的组织构成风险。通过在渲染下拉框之前正确清理用户输入，该问题已在 WeGIA 3.6.2 版本中得到解决。鉴于存储型 XSS 的性质，成功利用可能助长进一步的攻击，如在应用上下文内的会话劫持或网络钓鱼。
潜在影响
对于使用 WeGIA 的欧洲组织，此漏洞可能导致敏感信息（如会话令牌或与应用交互的用户个人数据）被未授权泄露。由于 WeGIA 被慈善机构使用，漏洞利用可能破坏信任，并可能暴露捐赠者或受益人的信息。中危评级反映：虽然该漏洞不直接影响系统完整性或可用性，但可被利用进行进一步危害机密性的攻击。低权限的要求意味着即使是权限较低的内部人员或被入侵的账户也可能利用该漏洞，从而增加风险。未能更新到 3.6.2 版本的组织，如果个人数据暴露，可能面临声誉损害和 GDPR 下的监管后果。目前尚无已知的在野利用代码，这降低了即时风险，但并未消除威胁，尤其是存储型 XSS 漏洞一旦公开便常成为攻击目标。
缓解建议
使用 WeGIA 的欧洲组织应立即将 WeGIA 安装升级到 3.6.2 或更高版本，以应用官方补丁，该补丁可清理受影响端点中的用户输入。除打补丁外，还应对所有用户提供的数据实施严格的输入验证和输出编码，以防止恶意脚本注入。使用内容安全策略(CSP)标头限制浏览器中未经授权脚本的执行。定期审计和监控 Web 应用日志，查找异常的输入模式或脚本注入尝试。教育用户和管理员关于 XSS 的风险，并鼓励报告可疑行为。如果补丁部署延迟，可考虑应用 Web 应用防火墙(WAF)规则，以检测和阻止针对该漏洞端点的典型 XSS 载荷。最后，审查用户权限，尽量减少能够向易受攻击字段提交数据的账户数量，从而降低攻击面。
受影响国家
葡萄牙、西班牙、意大利、法国、德国、英国、荷兰、比利时 aeYFGlNGPch5/i0AskAWpmMVXj3lzK9JFM/1O1GWF7DoYL3rXP4aWNF0oHPiGXRLwapc7HkOl6igz1SmbB5UG7hcrg5ttXjPg5s4zJpaZhAzrnjf+wmvwq5Csi0TET7H
