7.1
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
WeGIA before 3.9.2 contains an insecure direct object reference vulnerability in the employee profile page that allows authenticated attackers to access arbitrary employee records by injecting an id_pessoa parameter through a request extraction function that overwrites the session-derived identifier. Attackers can enumerate all user identifiers to retrieve full profile data for any employee account, including name, CPF, address, contact details, and administrative flags.
Засегнати продукти
- LabRedesCefetRJ WeGIA: преди 3.9.2
Вид слабост
История
- 20 август 2026 Публикувано
Други уязвимости в LabRedesCefetRJ WeGIA
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-76634
- https://nvd.nist.gov/vuln/detail/CVE-2026-76634
- https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-jqh5-66qr-85qv
- https://github.com/LabRedesCefetRJ/WeGIA/releases#release-3.9.2
- https://www.vulncheck.com/advisories/wegia-insecure-direct-object-reference-via-profile-funcionario-php