🇰🇷 한글 설명
WeGIA는 자선 기관을 위한 웹 관리 도구입니다. 3.7.0 이전 버전에서 lista_arquivos_etapa.php 파일의 id_processo 파라미터가 입력값 검증 없이 HTML에 직접 삽입되어, 공격자가 임의의 JavaScript를 주입할 수 있는 반사형 XSS 취약점이 존재합니다. 이 취약점은 3.7.0 버전에서 수정되었습니다.
💡 쉬운 설명
공격자가 악성 링크를 만들어 피해자가 클릭하게 하면, 피해자의 브라우저에서 악성 스크립트가 실행됩니다. 이를 통해 로그인 세션이 탈취되거나 계정 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
WeGIA is a web manager for charitable institutions. In versions prior to 3.7.0, a reflected Cross-Site Scripting (XSS) vulnerability exists in lista_arquivos_etapa.php due to improper handling of user-supplied input. The id_processo parameter is directly embedded into the HTML without sanitization, allowing attackers to inject arbitrary JavaScript. This can lead to session hijacking, credential theft, or execution of malicious actions in the context of the victim's browser. This vulnerability is fixed in 3.7.0.
📍 영향받는 시스템
WeGIA 3.7.0 미만 버전
⚔️ 공격 벡터
조작된 id_processo 파라미터가 포함된 악성 URL을 피해자가 클릭하도록 유도하여 스크립트 실행
🛡️ 대응 방법
WeGIA를 3.7.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 3.7.0 미만이면 취약한 상태이므로 즉시 업데이트가 필요하며, 3.7.0 이상이면 패치가 적용된 것입니다.
grep -rh 'WeGIA' /var/www/ 2>/dev/null | grep -i 'version' | head -5