🇰🇷 한글 설명
자선 단체용 오픈 소스 웹 관리자인 WeGIA의 3.4.12 이하 버전에서 권한 제어 결함이 발견되었습니다. get_relatorios_socios.php 엔드포인트를 통해 인증되지 않은 공격자가 회원의 민감한 개인정보 및 금융 정보에 직접 접근할 수 있습니다.
💡 쉬운 설명
로그인을 하지 않은 외부인도 관리자 페이지의 특정 주소만 알면 회원들의 개인정보와 돈 관련 정보를 몰래 볼 수 있는 문제입니다. 보안 문이 제대로 잠겨 있지 않아 누구나 들어올 수 있는 상태입니다.
🇺🇸 원문 (English)
WeGIA is an open source web manager with a focus on charitable institutions. Versions 3.4.12 and below contain a Broken Access Control vulnerability, identified in the get_relatorios_socios.php endpoint. This vulnerability allows unauthenticated attackers to directly access sensitive personal and financial information of members without requiring authentication or authorization. This issue is fixed in version 3.5.0.
📍 영향받는 시스템
WeGIA version 3.4.12 and below
⚔️ 공격 벡터
인증 없이 get_relatorios_socios.php 엔드포인트에 직접 접근하여 데이터 탈취
🛡️ 대응 방법
WeGIA를 최신 버전인 3.5.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 시 인증 없이 민감한 데이터 패턴이 출력되면 취약한 상태이며, 접근 거부(403/401)가 발생하면 안전합니다.
curl -s http://<target_ip>/get_relatorios_socios.php | grep -E 'sensitive_data_pattern'