PT-2024-21191 · Churchcrm · Churchcrm

Georgios Bitounis · Publicado 2024-02-21 · Atualizado 2025-03-28 · CVE-2024-25898

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

ChurchCRM versão 5.5.0

Descrição

Foi detectada uma vulnerabilidade XSS na funcionalidade de edição de eventos, na qual código JS ou HTML malicioso pode ser inserido no campo Event Sermon no arquivo EventEditor.php. Isso permite a possível execução de código malicioso.

Recomendações

Para a versão 5.5.0 do ChurchCRM, considere desativar a edição de eventos ou restringir o acesso ao arquivo EventEditor.php até que uma correção esteja disponível. Evite inserir dados não confiáveis no campo Event Sermon para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-25898

Produtos afetados

Churchcrm

Referências · 6

• 🔥 https://github.com/ChurchCRM/CRM/issues/6851 · Exploit
• https://twitter.com/CVEnew/status/1760368341011623968 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-25898 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-25898 · Aviso do Fabricante
• https://t.me/cvenotify/110970 · Publicação no Telegram
• https://t.me/cvenotify/116839 · Publicação no Telegram