CVE-2023-38764
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W ChurchCRM w wersji 5.0.0 występuje podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez parametry birthmonth i percls w pliku /QueryView.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykradzenia wrażliwych danych, co może prowadzić do naruszenia prywatności użytkowników oraz potencjalnych strat finansowych dla organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ChurchCRM oraz wprowadzenie odpowiednich zabezpieczeń, aby zminimalizować ryzyko ataków SQL injection.
Inne podatności w ChurchCRM v.5.0.0
Zobacz wszystkie- CVE-2023-38773Wysokie
W wersji 5.0.0 ChurchCRM występuje podatność na wstrzyknięcie SQL, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji za pomocą parametrów volopp1 i volopp2 w pliku /QueryView.php.
- CVE-2023-38771Wysokie
Podatność typu SQL injection w ChurchCRM w wersji 5.0.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr volopp w pliku /QueryView.php.
- CVE-2023-38770Wysokie
W podatności SQL injection w ChurchCRM w wersji 5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametr grupy w pliku /QueryView.php.
- CVE-2023-38769Wysokie
W podatności SQL injection w ChurchCRM v.5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametry searchstring i searchwhat w pliku /QueryView.php.
- CVE-2023-38768Wysokie
Podatność typu SQL injection w ChurchCRM w wersji 5.0.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr PropertyID w pliku /QueryView.php.
- CVE-2023-38767Wysokie
W ChurchCRM w wersji 5.0.0 występuje podatność na wstrzyknięcie SQL, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez parametry 'value' i 'custom' w pliku /QueryView.php.
- CVE-2023-38765Wysokie
W podatności SQL injection w ChurchCRM w wersji 5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametr membermonth w pliku /QueryView.php.
- CVE-2023-38763Średnie
Wersja 5.0.0 ChurchCRM zawiera podatność na wstrzykiwanie SQL, która pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez parametr FundRaiserID w punkcie końcowym /FundRaiserEditor.php.
- CVE-2023-38762Wysokie
Wersja 5.0.0 ChurchCRM zawiera podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji poprzez parametr friendmonths w pliku /QueryView.php.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in ChurchCRM v.5.0.0 allows a remote attacker to obtain sensitive information via the birthmonth and percls parameters within the /QueryView.php.