Churchcrm · Churchcrm · CVE-2024-39304
**Nome do software vulnerável e versões afetadas**
Versões do ChurchCRM anteriores à 5.9.2
**Descrição**
O problema é uma injeção de SQL autenticada devido à sanitização inadequada das entradas do usuário. É necessária autenticação, mas não são necessários privilégios elevados. Isso permite que invasores injetem instruções SQL diretamente na consulta ao banco de dados devido à sanitização inadequada do parâmetro `EID` em uma solicitação GET para “/GetText.php”.
**Recomendações**
Para versões anteriores à 5.9.2, atualize para a versão 5.9.2 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/GetText.php” ou sanitizar o parâmetro `EID` para minimizar o risco de exploração.