CVE-2026-54670: Vulnerabilidad crítica en WeGIA

Resumen ejecutivo

Qué es la vulnerabilidad

CVE-2026-54670 es una vulnerabilidad crítica que afecta al producto WeGIA (Web Gerenciador de Instituições de Apoio), un gestor web diseñado para instituciones benéficas y organizaciones de ayuda social. La falla reside en el despachador de solicitudes de contribuciones, específicamente en el archivo web/html/contribuicao/controller/control.php.

El problema se compone de tres deficiencias de seguridad que, combinadas, permiten un impacto severo:

• Falta de lista blanca completa: El controlador acepta valores controlados por el atacante en los parámetros nomeClasse y metodo sin verificar contra una lista blanca completa de controladores y métodos permitidos. Esto permite invocar métodos sensibles que no deberían estar expuestos.
• Autenticación omitida en operaciones sensibles: Las operaciones del controlador ContribuicaoLogController están exentas de autenticación. Un atacante remoto no autenticado puede invocar métodos como getContribuicoesLogJSON, sincronizarStatus o registrarFaturas para divulgar registros de contribuciones y donaciones o desencadenar operaciones del flujo financiero.
• Path traversal en la inclusión de archivos: La ruta de inclusión del controlador se construye sin una verificación canónica de contención de directorio. Un valor de nomeClasse con forma de traversal (por ejemplo, ../../) puede provocar que require_once incluya un archivo PHP o de configuración accesible fuera del directorio de controladores previsto. Esto expone código fuente, credenciales u otros datos locales sensibles.

La vulnerabilidad ha sido clasificada con las siguientes debilidades CWE:

• CWE-22: Limitación incorrecta de una ruta a un directorio restringido (Path Traversal).
• CWE-306: Falta de autenticación para una función crítica.

El vector CVSS es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, lo que indica que la explotación es posible de forma remota, sin requerir autenticación ni interacción del usuario, con un impacto alto en la confidencialidad y la integridad de los datos. No se ve afectada la disponibilidad.

La vulnerabilidad ha sido corregida en la versión 3.8.5 de WeGIA, publicada por el fabricante. Se recomienda encarecidamente actualizar a esta versión o aplicar las mitigaciones proporcionadas por el fabricante si la actualización no es posible de inmediato.

Productos y versiones vulnerables

La vulnerabilidad identificada como CVE-2026-54670 afecta al producto WeGIA, desarrollado por LabRedesCefetRJ. WeGIA es un gestor web orientado a instituciones benéficas y organizaciones sin ánimo de lucro, utilizado para la administración de contribuciones, donaciones y flujos financieros asociados.

Según la información publicada por CVE.org y NVD, las versiones afectadas son todas aquellas anteriores a la 3.8.5. El fabricante ha confirmado que la corrección se incluye en la versión 3.8.5, publicada como release oficial en el repositorio del proyecto.

No se han publicado otras versiones o ramas adicionales afectadas en las fuentes consultadas. Se recomienda verificar la versión desplegada en cada instalación y actualizar a la 3.8.5 o posterior.

Impacto y riesgo

La vulnerabilidad presenta una puntuación CVSS v3.1 de 9.1, clasificada como CRITICAL. El vector asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, lo que indica que el ataque puede realizarse de forma remota sin necesidad de autenticación previa ni interacción del usuario.

El impacto se concentra en la confidencialidad y la integridad de los datos, con un impacto de disponibilidad nulo. Las implicaciones prácticas incluyen:

• Divulgación de información sensible: un atacante no autenticado puede invocar métodos como getContribuicoesLogJSON para acceder a registros de contribuciones y donaciones, así como a otros datos almacenados en la aplicación.
• Manipulación de flujos financieros: operaciones como sincronizarStatus o registrarFaturas pueden ser ejecutadas sin autenticación, permitiendo alterar estados de facturas o disparar procesos financieros no autorizados.
• Exposición de código fuente y credenciales: mediante un valor de nomeClasse con forma de traversal, el parámetro require_once puede incluir archivos PHP o de configuración fuera del directorio de controladores previsto, exponiendo credenciales, claves u otros datos locales sensibles.

La combinación de acceso remoto no autenticado, alta severidad y la naturaleza sensible de los datos gestionados por WeGIA hace que esta vulnerabilidad deba tratarse con carácter prioritario en cualquier entorno donde el producto esté desplegado.

Estado de explotación conocida

Las fuentes consultadas —NVD y CVE.org— no publican información que confirme explotación activa en entornos reales para esta CVE. No se han divulgado exploits públicos, ni se menciona su uso en campañas maliciosas o ransomware.

No obstante, la criticidad de la vulnerabilidad y la facilidad de explotación (requisitos de red bajos, sin autenticación y sin interacción del usuario) hacen plausible que pueda ser aprovechada en un plazo corto. Se recomienda aplicar la actualización disponible sin demora, sin esperar a que se confirme explotación pública.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc aparece vacío y no debe inventarse información al respecto.

En ausencia de IOC publicados, se recomienda monitorizar los registros de acceso a web/html/contribuicao/controller/control.php, prestando especial atención a peticiones que incluyan parámetros nomeClasse o metodo con valores inusuales, rutas traversal o invocaciones a métodos sensibles sin sesión autenticada. Esta monitorización debe considerarse una medida complementaria, no un sustituto de la actualización del software.

Cómo comprobar si estás afectado

Para determinar si tu instalación de WeGIA es vulnerable a CVE-2026-54670, debes verificar la versión exacta del software que estás ejecutando. Según la información publicada por el fabricante y el NVD, todas las versiones anteriores a 3.8.5 se consideran afectadas por esta vulnerabilidad crítica.

El primer paso es identificar la versión instalada. Puedes hacerlo consultando el panel de administración de WeGIA, el archivo de configuración principal o el gestor de paquetes utilizado para la instalación. Si no puedes determinar la versión con certeza, asume que tu instalación es vulnerable y aplica las medidas de mitigación descritas a continuación.

Además de la versión, debes comprobar si el archivo web/html/contribuicao/controller/control.php está presente y es accesible. Este archivo es el punto de entrada del despachador de solicitudes de contribuciones y contiene la lógica vulnerable. Si el archivo existe, la superficie de ataque está expuesta.

También es recomendable revisar los registros de acceso del servidor web en busca de solicitudes sospechosas dirigidas a control.php con parámetros como nomeClasse o metodo. La presencia de peticiones con valores inusuales o intentos de traversal (../) puede indicar que la vulnerabilidad ha sido explotada.

Nota importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. La ausencia de estos indicadores no debe interpretarse como una garantía de que el sistema no ha sido comprometido.

Mitigación y actualización

La única solución completa confirmada por el fabricante es actualizar a la versión 3.8.5 de WeGIA. Esta versión corrige las deficiencias en la lista blanca de controladores y métodos, restablece la autenticación obligatoria para las operaciones sensibles de ContribuicaoLogController y corrige la construcción de la ruta de inclusión del controlador para evitar el path traversal.

El fabricante ha publicado la versión corregida en su repositorio oficial de GitHub, junto con los commits que abordan la vulnerabilidad. Se recomienda encarecidamente revisar el aviso de seguridad oficial GHSA-7p5g-g8xw-x47g y aplicar la actualización de inmediato.

Mientras se completa la actualización, se pueden adoptar las siguientes medidas temporales de mitigación:

• Restringir el acceso al archivo web/html/contribuicao/controller/control.php mediante reglas de firewall o configuración del servidor web, permitiendo únicamente las peticiones legítimas.
• Implementar reglas en el firewall de aplicación web (WAF) para bloquear solicitudes que contengan patrones de path traversal o valores sospechosos en los parámetros nomeClasse y metodo.
• Revisar y rotar todas las credenciales almacenadas en archivos de configuración accesibles desde el directorio del controlador, ya que podrían haber sido expuestas.
• Auditar los registros de acceso y los logs de la aplicación para detectar actividad anómala relacionada con el módulo de contribuciones.

Estas medidas son paliativas y no sustituyen a la actualización a la versión 3.8.5. La exposición prolongada sin parchear aumenta significativamente el riesgo de compromiso.

Checklist para administradores

• ☐ Identificar la versión exacta de WeGIA instalada en todos los entornos (producción, pruebas, desarrollo).
• ☐ Confirmar si la versión instalada es anterior a 3.8.5 y, por tanto, vulnerable.
• ☐ Planificar y ejecutar la actualización a la versión 3.8.5 siguiendo el procedimiento oficial del fabricante.
• ☐ Verificar que el archivo web/html/contribuicao/controller/control.php ha sido reemplazado por la versión corregida.
• ☐ Revisar los registros de acceso del servidor web en busca de intentos de explotación (parámetros nomeClasse o metodo anómalos, patrones de traversal).
• ☐ Auditar los archivos de configuración y credenciales que pudieran haber sido expuestos a través de la inclusión de archivos arbitrarios.
• ☐ Rotar contraseñas, claves API y cualquier secreto almacenado en el servidor si existe sospecha de compromiso.
• ☐ Supervisar la actividad del módulo de contribuciones y donaciones para detectar operaciones financieras no autorizadas.
• ☐ Mantener un registro de las acciones tomadas y las fechas de aplicación de la actualización.
• ☐ Suscribirse a las notificaciones de seguridad del fabricante para futuras vulnerabilidades.

Preguntas frecuentes

¿Qué puede hacer un atacante si explota esta vulnerabilidad?

Un atacante remoto no autenticado puede invocar métodos sensibles del controlador de contribuciones, como getContribuicoesLogJSON, sincronizarStatus o registrarFaturas, para divulgar registros de contribuciones y donaciones o desencadenar operaciones del flujo financiero. Además, mediante un valor de nomeClasse con forma de traversal, puede hacer que require_once incluya archivos PHP o de configuración fuera del directorio del controlador, exponiendo código fuente, credenciales u otros datos locales sensibles.

¿La vulnerabilidad requiere autenticación previa?

No. Según la descripción oficial, el despachador de solicitudes exime de autenticación las operaciones sensibles de ContribuicaoLogController. Esto permite que un atacante remoto no autenticado explote la vulnerabilidad, lo que incrementa su gravedad.

¿Qué puntuación CVSS tiene esta vulnerabilidad?

La puntuación CVSS v3.1 asignada es 9.1 (crítica), con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Esto refleja un impacto alto en la confidencialidad y la integridad, sin afectar a la disponibilidad.

¿Qué CWE están asociadas a esta vulnerabilidad?

Las debilidades comunes asociadas son CWE-22 (limitación inadecuada del nombre de ruta a un directorio restringido, «path traversal») y CWE-306 (ausencia de autenticación para funciones críticas).

¿Existe algún parche o versión corregida disponible?

Sí. El fabricante ha publicado la versión 3.8.5 de WeGIA, que corrige la vulnerabilidad. Se recomienda aplicar esta actualización lo antes posible.

¿Debo preocuparme si no uso el módulo de contribuciones?

Sí. Aunque la vulnerabilidad reside en el módulo de contribuciones, el archivo vulnerable es accesible desde el exterior si el servidor web lo expone. Un atacante podría aprovechar la inclusión de archivos para acceder a otros datos sensibles del sistema, independientemente de si utilizas activamente el módulo.

Fuentes oficiales

Para obtener información detallada y actualizada, consulta las siguientes fuentes oficiales:

• NVD – Detalle de CVE-2026-54670
• Aviso de seguridad oficial del fabricante (GHSA-7p5g-g8xw-x47g)
• Versión corregida 3.8.5 en GitHub
• Commit de corrección 1
• Commit de corrección 2
• Issue #1638 en el repositorio oficial

Mantente atento a las actualizaciones del fabricante y aplica los parches de seguridad tan pronto como estén disponibles. La exposición a esta vulnerabilidad sin mitigación puede tener graves consecuencias para la confidencialidad e integridad de los datos de tu organización.