WeGIA: Authorization Bypass via Empty Resource Array in InternoControle

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• LabRedesCefetRJ WeGIA

  • < 3.8.5затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-54767WeGIA: Hardcoded Secret Key Backdoor — Mass Data Destruction via deletar_socios.php
  36Наблюдать
• CVE-2026-54670WeGIA: Unauthenticated Auth Bypass + Local File Inclusion
  36Наблюдать
• CVE-2026-40285WeGIA has SQL Injection via Session Variable Override in DespachoControle.php
  35Наблюдать
• CVE-2026-76633WeGIA < 3.9.2 Authorization Bypass Password Change via alterarSenha
  34Наблюдать
• CVE-2026-40286WeGIA has Cross-Site Scripting in Controle de Contribuição
  30Наблюдать
• CVE-2026-76634WeGIA < 3.9.2 Insecure Direct Object Reference via profile_funcionario.php
  28Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.