一、 漏洞 CVE-2026-23725 基础信息
漏洞信息
# WeGIA 存储型XSS漏洞 – 采用者信息页nome参数
## 概述
WeGIA 是一款用于慈善机构的网页管理工具。在版本 3.6.2 之前，其 `html/pet/adotantes/cadastro_adotante.php` 和 `html/pet/adotantes/informacao_adotantes.php` 端点存在存储型跨站脚本（Stored XSS）漏洞。
## 影响版本
3.6.2 之前的版本
## 细节
该漏洞源于应用未对用户输入的数据进行适当过滤和转义，直接将用户可控的输入内容渲染到“Adopters Information”表格中，导致恶意脚本被持久化存储并执行。
## 影响
攻击者可通过提交恶意 JavaScript 载荷，使得任何访问该页面的用户在浏览时自动执行脚本，可能导致会话窃取、权限冒用或页面内容篡改等后果。该问题已在版本 3.6.2 中修复。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
WeGIA Stored Cross-Site Scripting (XSS) – nome Parameter on Adopters Information Page
来源：美国国家漏洞数据库 NVD
漏洞描述信息
WeGIA is a web manager for charitable institutions. Prior to 3.6.2, a Stored Cross-Site Scripting (XSS) vulnerability was identified in the html/pet/adotantes/cadastro_adotante.php and html/pet/adotantes/informacao_adotantes.php endpoint of the WeGIA application. The application does not sanitize user-controlled input before rendering it inside the Adopters Information table, allowing persistent JavaScript injection. Any user who visits the page will have the payload executed automatically. This vulnerability is fixed in 3.6.2.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-23725 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-23725 的情报信息
标题： Securities 260105 by GabrielPintoSouza · Pull Request #1333 · LabRedesCefetRJ/WeGIA · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：### 关键信息 - **提交者**: GabrielPintoSouza - **合并者**: nilsonLazarin - **提交数量**: 20 - **更改文件数量**: 146 - **漏洞修复记录**: - [GHSA-g7hh-6qj7-mcqf](#) - [GHSA-xfmp-2hf9-gfjp](#) - [GHSA-3r3q-8573-q3cq](#) - [GHSA-c85q-4fwg-99gw](#) - [GHSA-h7qx-j7g3-7fx3](#) - [GHSA-pmq9-8p4w-m4f3](#) - [GHSA-jf25-p56f-wpqh](#) - [GHSA-w88p-v7h6-m728](#) - [GHSA-6qx4-6qwv-cxc3](#) - [GHSA-99qp-hjvh-c59q](#) - **解决的漏洞类型**: - XSS (跨站脚本攻击) - SQL Injection (SQL注入) - Open Redirect (开放重定向) - Implementation of security headers (安全头部的实现) - **合并时间**: 4 天前
标题： Release 3.6.2 · LabRedesCefetRJ/WeGIA · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：从网页截图中，可以提取到以下关于漏洞的关键信息： - **版本信息**： - 当前最新版本为3.6.2，由 @nilsonlazarin 在4天前发布。 - **漏洞修复**： - 该版本包含了一个安全更新，编号为260105，由 @GabrielPintoSouza 在 #1333 中提交。 - **变更日志**： - 完整变更日志可从 [3.6.1...3.6.2](#) 获取。 这些信息表明，版本3.6.2可能修复了一个或多个安全漏洞，并且用户应当及时更新到该版本以保护系统安全。
标题： Stored Cross-Site Scripting (XSS) – nome Parameter on Adopters Information Page · Advisory · LabRedesCefetRJ/WeGIA · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：### 关键信息 #### 漏洞概述 - **类型**: 存储型跨站脚本（XSS） - **受影响版本**: <= 3.6.1 - **修复版本**: 3.6.2 - **CVE ID**: CVE-2026-23725 #### 严重性 - **等级**: 中等 - **CVSS v3 base metrics**: 4.3/10 - **向量**: 网络 - **复杂度**: 低 - **权限**: 低 - **用户交互**: 无 - **范围**: 未更改 - **机密性**: 低 - **完整性**: 无 - **可用性**: 无 #### 漏洞详情 - **概要**: - 存储型跨站脚本（XSS）漏洞在WeGIA应用的`html/pet/adotantes/cadastro_adotante.php`和`html/pet/adotantes/informacao_adotantes.php`端点中被发现。 - 应用程序在将用户控制的输入呈现到 Adopters Information 表中之前不会对其进行清理，从而允许持久的 JavaScript 注入。任何访问该页面的用户都会自动执行payload。 #### 漏洞组件 - **易受攻击的组件**: 列出采纳者记录的数据表。来自数据库的特别是"Nome"（名称）字段的数据直接注入DOM内部的`<td>`元素。 #### 概念验证（PoC） 1. 以具有创建或编辑 Adoptantes（采纳者）权限的用户身份登录。 2. 在“Nome”字段中插入以下payload: ``` <script>alert('PoC-XSS-VolkSec')</script> ``` 3. 保存采纳者表单。 4. 导航到: ``` https://sec.wegia.org:8000/WeGIA/html/pet/adotantes/informacao_adotantes.php ``` 5. JavaScript payload将在页面加载时立即执行。 #### 影响 - 允许攻击者在受害者的浏览器中执行任意JavaScript，这可能导致会话劫持、账户接管或未经授权以用户身份执行操作。
- https://nvd.nist.gov/vuln/detail/CVE-2026-23725
四、漏洞 CVE-2026-23725 的评论
暂无评论