PT-2024-21189 · Churchcrm · Churchcrm

0Xiapetus + 1 · Publicado 2024-02-21 · Atualizado 2024-02-22 · CVE-2024-25896

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

ChurchCRM versão 5.5.0

Descrição

O problema diz respeito a uma vulnerabilidade de injeção SQL cega, especificamente baseada em tempo, que pode ser explorada por meio do parâmetro EID no arquivo EventEditor.php. Isso permite um possível acesso não autorizado às informações do banco de dados.

Recomendações

Para o ChurchCRM versão 5.5.0, considere restringir o acesso ao arquivo EventEditor.php até que uma correção esteja disponível e evite usar o parâmetro EID nas solicitações POST afetadas para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-25896

Produtos afetados

Churchcrm

Referências · 4

• https://github.com/ChurchCRM/CRM/issues/6854 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-25896 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-25896 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1760368338952208842 · Publicação no Twitter