Càrrega de fitxers arbitraris autenticats per WeGIA que comporta l’execució remota de codi (RCE)
03/09/2025
CVE-2025-58159
CRÍTIC (10,0)
CVSS3: 0,0
WeGIA és un gestor web per a institucions benèfiques. Abans de la versió 3.4.11, s’havia identificat una vulnerabilitat d’execució remota de codi, causada per una validació incorrecta dels fitxers carregats. L’aplicació permet que un atacant carregui fitxers amb noms de fitxer arbitraris, inclosos els que tenen l’extensió .php. Com que el fitxer carregat s’escriu directament al disc sense una higienització o restriccions d’extensió adequades, es pot carregar i executar al servidor un fitxer de full de càlcul seguit de codi PHP, cosa que provoca l’execució de codi arbitrari. Això es deu a una mitigació insuficient de la CVE-2025-22133. Aquest problema s’ha corregit a la versió 3.4.11.
Sistemes Afectats
- LabRedesCefetRJ WeGIA < 3.4.11
Remediació
Aquest problema s’ha corregit a la versió 3.4.11. Vegeu-ne les referències.
