PT-2025-51932 · Churchcrm · Churchcrm

Lukasz-Rybak · Publicado 2025-12-17 · Atualizado 2025-12-20 · CVE-2025-68400

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do ChurchCRM anteriores à 6.5.3

Descrição O ChurchCRM é um sistema de gerenciamento de igrejas de código aberto com uma vulnerabilidade de Injeção de SQL presente em um endpoint legado. A vulnerabilidade existe no endpoint /Reports/ConfirmReportEmail.php e é explorável através do parâmetro familyId. Qualquer usuário autenticado, mesmo com permissões limitadas, pode acionar a Injeção de SQL. O código vulnerável, embora removido da interface do usuário, permanece acessível diretamente via URL, representando um caso de 'código morto, mas alcançável'.

Recomendações Atualize para a versão 6.5.3 ou posterior.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-68400

GHSA-V54G-2PVG-GVP2

Produtos afetados

Churchcrm

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/68xxx/CVE-2025-68400.json · Exploit
• 🔥 https://github.com/ChurchCRM/CRM/security/advisories/GHSA-v54g-2pvg-gvp2 · Exploit
• https://twitter.com/VulmonFeeds/status/2001439531430486052 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-68400 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-68400 · Nota de Segurança
• https://twitter.com/CVEnew/status/2002487814248935569 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2001410964789276790 · Publicação no Twitter