CVE-2026-61671：WeGIA 系統內部 IDOR 與 CSRF 漏洞 允許跨帳號存取敏感資料
CVE-2026-61671 - WeGIA: Systemic IDOR + Missing CSRF — extract($_REQUEST) in All Controle Classes
**WeGIA 這款慈善機構管理系統在 3.8.7 之前存在多個 IDOR 與 CSRF 漏洞，任何已驗證使用者皆能存取或修改他人敏感資料。
\n\n- 漏洞範圍**：/controle/control.php 透過 extract($_REQUEST) 接收 nomeClasse、metodo、id 等引數，未做所有者驗證。
此漏洞揭示多層級許可權檢查缺失，提醒開發者在設計 CRUD 介面時必須同步實施 CSRF 防護與所有資料操作的所有者驗證。
WeGIA 是一個為慈善機構設計的網頁管理工具。在建議書所說的修補版本 3.8.7 之前，`/controle/control.php` 的分派端點會透過 `extract($_REQUEST)` 接收攻擊者可控的 `nomeClasse`、`metodo` 以及記錄識別引數，包括 id、`idatendido`、`idInterno`、`id_funcionario`，而受影響的 Controle CRUD 方法並未驗證記錄擁有權。任何已驗證的使用者都能檢視、修改或刪除其他使用者的紀錄，洩露 CPF、RG、地址、醫療紀錄、財務資料及員工紀錄。`AtendidoControle` 在 `alterar`、`excluir`、`listarUm`、`alterarInfPessoal`、`alterarDocumentacao`、`alterarImagem`、`alterarEndereco`、`alterarStatus` 等操作上缺少擁有權檢查；`InternoControle` 在 `incluir`、`alterar`、`excluir`、`listarUm`、`listarTodos`、`listarCpf` 等操作上缺少檢查。`FuncionarioControle` 缺少對 `alterarInfPessoal`、`alterarEndereco`、`alterarDocumentacao`、`alterarImagem`、`alterarCargaHoraria`、`excluir` 的擁有權檢查；`VoluntarioControle` 缺少對 `alterarInfPessoal`、`alterarEndereco`、`alterarDetalhes`、`alterarImagem`、`excluir` 的檢查。`AtendidoControle` 與 `InternoControle` 另外缺少 CSRF 驗證，允許受害者已驗證的瀏覽器在訪問惡意頁面時，以受害者的 session 執行改變狀態的操作。`FuncionarioControle` 與 `VoluntarioControle` 擁有每個方法的 CSRF 檢查，但這些檢查並未阻止物件授權繞過。建議書指出版本 3.8.7 為已修補版本。