一、 漏洞 CVE-2026-23731 基础信息

                                        # WeGIA 点击劫持漏洞

## 概述
WeGIA 是一个慈善机构的网页管理工具。在 3.6.2 之前版本中，存在点击劫持（clickjacking）漏洞，因应用未设置防御性的 HTTP 响应头来防止页面被嵌入框架。

## 影响版本
3.6.2 之前的所有版本。

## 细节
WeGIA 未配置 `X-Frame-Options` 头，也未设置 `Content-Security-Policy` 的 `frame-ancestors` 指令。攻击者可将任意 WeGIA 页面嵌入恶意 HTML 文档中，通过覆盖虚假界面、隐藏真实按钮等方式诱导用户误操作，进而触发敏感操作。

## 影响
攻击者可利用该漏洞实施点击劫持，诱使用户在不知情的情况下与 WeGIA 应用交互，可能导致权限滥用或敏感操作被意外执行。该问题已在 3.6.2 版本中修复。
                                        

二、漏洞 CVE-2026-23731 的公开POC

三、漏洞 CVE-2026-23731 的情报信息

• 标题： Securities 260105 by GabrielPintoSouza · Pull Request #1333 · LabRedesCefetRJ/WeGIA · GitHub -- 🔗来源链接

  标签：x_refsource_MISC

  神龙速读：

                                          ### 关键信息
  
  - **提交者**: GabrielPintoSouza
  - **合并者**: nilsonLazarin
  - **提交数量**: 20
  - **更改文件数量**: 146
  - **漏洞修复记录**:
    - [GHSA-g7hh-6qj7-mcqf](#)
    - [GHSA-xfmp-2hf9-gfjp](#)
    - [GHSA-3r3q-8573-q3cq](#)
    - [GHSA-c85q-4fwg-99gw](#)
    - [GHSA-h7qx-j7g3-7fx3](#)
    - [GHSA-pmq9-8p4w-m4f3](#)
    - [GHSA-jf25-p56f-wpqh](#)
    - [GHSA-w88p-v7h6-m728](#)
    - [GHSA-6qx4-6qwv-cxc3](#)
    - [GHSA-99qp-hjvh-c59q](#)
  - **解决的漏洞类型**:
    - XSS (跨站脚本攻击)
    - SQL Injection (SQL注入)
    - Open Redirect (开放重定向)
    - Implementation of security headers (安全头部的实现)
  - **合并时间**: 4 天前
                                          

  

• 标题： Release 3.6.2 · LabRedesCefetRJ/WeGIA · GitHub -- 🔗来源链接

  标签：x_refsource_MISC

  神龙速读：

                                          从网页截图中，可以提取到以下关于漏洞的关键信息：
  
  - **版本信息**：
    - 当前最新版本为3.6.2，由 @nilsonlazarin 在4天前发布。
    
  - **漏洞修复**：
    - 该版本包含了一个安全更新，编号为260105，由 @GabrielPintoSouza 在 #1333 中提交。
  
  - **变更日志**：
    - 完整变更日志可从 [3.6.1...3.6.2](#) 获取。
  
  这些信息表明，版本3.6.2可能修复了一个或多个安全漏洞，并且用户应当及时更新到该版本以保护系统安全。
                                          

  

• 标题： Clickjacking Vulnerability · Advisory · LabRedesCefetRJ/WeGIA · GitHub -- 🔗来源链接

  标签：x_refsource_CONFIRM

  神龙速读：

                                          ### Clickjacking Vulnerability
  
  #### Severity
  - CVSS v3 base metrics: 4.3 / 10
  
  #### Affected Versions
  - <= 3.6.1
  
  #### Patched Versions
  - 3.6.2
  
  #### Summary
  The web application is vulnerable to clickjacking attacks. The site can be embedded into another frame, allowing an attacker to trick a user into clicking on something different from what the user perceives, thus potentially revealing confidential information or allowing others to take control of their computer while clicking on seemingly innocuous objects.
  
  #### Details
  The WeGIA application does not send any defensive HTTP headers related to framing protection. In particular:
  - X-Frame-Options is missing
  - Content-Security-Policy with frame-ancestors directive is not configured
  
  Because of this, an attacker can load any WeGIA page inside a malicious HTML document, overlay deceptive elements, hide real buttons, or force accidental interaction with sensitive workflows.
  
  #### Impact
  This vulnerability allows attackers to:
  - Perform UI redressing attacks, tricking users into clicking hidden or disguised elements
  - Trigger unauthorized actions using the victim's active session
  - Manipulate sensitive workflows such as creation, deletion, modification, or approval of records
  - Conduct phishing-like attacks by overlaying deceptive prompts or forms
  - Embed the application into malicious pages to increase the effectiveness of social engineering attacks
  
  #### Recommendation
  Configure the X-Frame-Options header (DENY or SAMEORIGIN) and implement a CSP policy using frame-ancestors 'self' to prevent unauthorized framing. Ensure both protections are applied across all endpoints to fully mitigate the missing anti-framing controls.
  
  #### CVSS v3 Base Metrics
  - Attack Vector: Network
  - Attack Complexity: Low
  - Privileges Required: None
  - User Interaction: Required
  - Scope: Unchanged
  - Confidentiality: None
  - Integrity: Low
  - Availability: None
  
  #### CVE ID
  CVE-2026-23731
  
  #### Weaknesses
  - CWE-1021
  
  #### Credits
  - Reporter: volksec
  - Remediation Developer: GabrielPintoSouza
                                          

  
• https://nvd.nist.gov/vuln/detail/CVE-2026-23731

四、漏洞 CVE-2026-23731 的评论