Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en WeGIA (CVE-2025-54061)

Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
17/07/2025
Última modificación:
30/07/2025

Descripción

WeGIA es un gestor web de código abierto centrado en el idioma portugués y las instituciones benéficas. Se identificó una vulnerabilidad de inyección SQL en versiones anteriores a la 3.4.6 en el parámetro `idatendido_familiares` del endpoint `/html/funcionario/dependente_editarDoc.php`. Esta vulnerabilidad permite a un atacante manipular consultas SQL y acceder a información confidencial de la base de datos, como nombres de tablas y datos sensibles. La versión 3.4.6 corrige el problema.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:wegia:wegia:*:*:*:*:*:*:*:* 3.4.6 (excluyendo)