Michael Mcinerney

**Nome do Software Vulnerável e Versões Afetadas** Versões 5.13.0 e anteriores do ChurchCRM **Descrição** Existe uma vulnerabilidade de Injeção de SQL Cega Baseada em Tempo no arquivo `EditEventAttendees.php` dentro do parâmetro `EN tyid`. O parâmetro é inserido diretamente em uma consulta SQL sem a devida sanitização, permitindo que atacantes injetem comandos SQL maliciosos. Esta falha pode potencialmente permitir que atacantes atrasem a resposta, indicando a presença de uma vulnerabilidade de injeção de SQL. Embora seja uma injeção cega baseada em tempo, ela pode ser explorada para obter informações sobre o banco de dados subjacente e, com exploração adicional, dados sensíveis poderão ser recuperados. A vulnerabilidade requer permissões de Administrador. **Recomendações** Para as versões 5.13.0 e anteriores do ChurchCRM, como uma solução temporária, considere restringir o acesso ao arquivo `EditEventAttendees.php` e ao parâmetro `EN tyid` para minimizar o risco de exploração. Evite usar o parâmetro `EN tyid` no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do ChurchCRM 5.13.0 e anteriores **Descrição** Existe uma vulnerabilidade de Injeção de SQL cega baseada em booleanos e baseada em tempo na funcionalidade `DonatedItemEditor`, permitindo que um atacante execute consultas SQL arbitrárias. O parâmetro `CurrentFundraiser` é concatenado diretamente em uma consulta SQL sem sanitização suficiente, permitindo que um atacante manipule consultas de banco de dados e execute comandos arbitrários, potencialmente levando à exfiltração, modificação ou exclusão de dados. Este problema requer privilégios de Administrador. **Recomendações** Para as versões 5.13.0 e anteriores do ChurchCRM, considere desativar a funcionalidade `DonatedItemEditor` até que uma correção esteja disponível para prevenir a exploração da vulnerabilidade de Injeção de SQL. Restrinja o acesso ao parâmetro `CurrentFundraiser` para minimizar o risco de manipulação de consultas de banco de dados. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do ChurchCRM 5.13.0 e anteriores **Descrição** Uma vulnerabilidade de Injeção de SQL cega baseada em booleanos e baseada em tempo existe na funcionalidade BatchWinnerEntry, permitindo que um atacante execute consultas SQL arbitrárias. O parâmetro `CurrentFundraiser` é diretamente concatenado em uma consulta SQL sem sanitização suficiente, permitindo que um atacante manipule consultas ao banco de dados e execute comandos arbitrários, potencialmente levando à exfiltração, modificação ou exclusão de dados. Este problema requer privilégios de Administrador. **Recomendações** Para as versões do ChurchCRM 5.13.0 e anteriores, como solução temporária, considere desativar a funcionalidade `BatchWinnerEntry` até que uma correção esteja disponível. Restrinja o acesso ao parâmetro `CurrentFundraiser` para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** ChurchCRM version 5.13.0 **Description** A vulnerability exists in ChurchCRM that allows an attacker to execute arbitrary JavaScript in a victim's browser via Reflected Cross-Site Scripting (XSS) in the EditEventAttendees.php page. This requires Administration privileges and affects the `EID` parameter. The flaw allows an attacker to steal session cookies, perform actions on behalf of an authenticated user, and gain unauthorized access to the application. **Recommendations** For ChurchCRM version 5.13.0, as a temporary workaround, consider disabling access to the EditEventAttendees.php page or restricting the use of the `EID` parameter until a patch is available. Avoid using the `EID` parameter in the affected page to minimize the risk of exploitation. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** Versões do ChurchCRM 5.13.0 e anteriores **Descrição** Existe uma vulnerabilidade de Injeção de SQL cega baseada em booleanos na funcionalidade EditEventAttendees, permitindo que um atacante execute consultas SQL arbitrárias. O parâmetro `EID` é concatenado diretamente em uma consulta SQL sem a sanitização adequada, tornando-o suscetível a ataques de injeção de SQL. Um atacante pode manipular a consulta, potencialmente levando à exfiltração, modificação ou exclusão de dados. Este problema requer privilégios de Administrador. **Recomendações** Para as versões 5.13.0 e anteriores do ChurchCRM, como medida temporária, considere desativar a funcionalidade EditEventAttendees até que um patch esteja disponível. Restrinja o acesso ao parâmetro `EID` para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** ChurchCRM versões 5.13.0 e anteriores **Descrição** Existe uma vulnerabilidade de Injeção de SQL cega baseada em tempo na funcionalidade EditEventTypes, permitindo que um atacante execute consultas SQL arbitrárias. O parâmetro `newCountName` é diretamente concatenado em uma consulta SQL sem sanitização adequada, permitindo que um atacante manipule consultas do banco de dados e execute comandos arbitrários. Isso poderia potencialmente levar à exfiltração, modificação ou exclusão de dados. **Recomendações** Para as versões do ChurchCRM 5.13.0 e anteriores, como solução temporária, considere desabilitar a funcionalidade EditEventTypes até que uma correção esteja disponível. Restrinja o acesso ao parâmetro `newCountName` na funcionalidade afetada para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** ChurchCRM versions 5.13.0 and prior **Description** A Stored Cross Site Scripting (XSS) vulnerability exists in the Group Editor page, allowing attackers to hijack user sessions. Admin users can inject malicious JavaScript in the description field, capturing the session cookie of authenticated users. The cookie can then be sent to an external server, enabling session hijacking and potentially leading to information disclosure, as exposed session cookies can be used to impersonate users and gain unauthorized access to sensitive information. **Recommendations** For ChurchCRM versions 5.13.0 and prior, consider disabling the Group Editor page or restricting access to it until a patch is available. As a temporary workaround, avoid using the description field in the Group Editor page to prevent malicious JavaScript injection. Restrict access to sensitive information and monitor user activity for potential session hijacking attempts. At the moment, there is no information about a newer version that contains a fix for this vulnerability.