PT-2025-51927 · Churchcrm · Churchcrm

Saadet-T · Publicado 2025-12-17 · Atualizado 2025-12-20 · CVE-2025-68109

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do ChurchCRM anteriores à 6.5.3

Descrição O ChurchCRM é um sistema de gerenciamento de igrejas de código aberto. A funcionalidade de Restauração de Banco de Dados não valida o conteúdo ou a extensão de arquivo dos arquivos enviados. Isso permite que um atacante envie um arquivo web shell e, subsequentemente, envie um arquivo .htaccess para habilitar o acesso direto a ele. Uma vez acessado, o web shell enviado permite a execução remota de código (RCE) no servidor. A funcionalidade Restauração de Banco de Dados é o componente afetado.

Recomendações Atualize o ChurchCRM para a versão 6.5.3 para resolver este problema.

Exploit

Correção

RCE

Files Accessible to External Parties

Unrestricted File Upload

OS Command Injection

Enumeração de Fraquezas

CWE-494

CWE-915

CWE-552

CWE-434

CWE-78

Identificadores relacionados

CVE-2025-68109

GHSA-PQM7-G8PX-9R77

Produtos afetados

Churchcrm

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/68xxx/CVE-2025-68109.json · Exploit
• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-pqm7-g8px-9r77 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2001421543059132784 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-68109 · Nota de Segurança
• https://t.me/cveNotify/146237 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/2001422013257154751 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2002487819164659769 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-68109 · Aviso do Fabricante
• https://twitter.com/0dayPublishing/status/2001407175864795446 · Publicação no Twitter