CVE-2023-38765
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W podatności SQL injection w ChurchCRM w wersji 5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametr membermonth w pliku /QueryView.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do kradzieży danych osobowych lub innych poufnych informacji, co może prowadzić do poważnych konsekwencji dla organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ChurchCRM oraz wprowadzenie dodatkowych zabezpieczeń, aby zminimalizować ryzyko ataków SQL injection.
Inne podatności w ChurchCRM v.5.0.0
Zobacz wszystkie- CVE-2023-38773Wysokie
W wersji 5.0.0 ChurchCRM występuje podatność na wstrzyknięcie SQL, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji za pomocą parametrów volopp1 i volopp2 w pliku /QueryView.php.
- CVE-2023-38771Wysokie
Podatność typu SQL injection w ChurchCRM w wersji 5.0.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr volopp w pliku /QueryView.php.
- CVE-2023-38770Wysokie
W podatności SQL injection w ChurchCRM w wersji 5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametr grupy w pliku /QueryView.php.
- CVE-2023-38769Wysokie
W podatności SQL injection w ChurchCRM v.5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametry searchstring i searchwhat w pliku /QueryView.php.
- CVE-2023-38768Wysokie
Podatność typu SQL injection w ChurchCRM w wersji 5.0.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr PropertyID w pliku /QueryView.php.
- CVE-2023-38767Wysokie
W ChurchCRM w wersji 5.0.0 występuje podatność na wstrzyknięcie SQL, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez parametry 'value' i 'custom' w pliku /QueryView.php.
- CVE-2023-38764Wysokie
W ChurchCRM w wersji 5.0.0 występuje podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez parametry birthmonth i percls w pliku /QueryView.php.
- CVE-2023-38763Średnie
Wersja 5.0.0 ChurchCRM zawiera podatność na wstrzykiwanie SQL, która pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez parametr FundRaiserID w punkcie końcowym /FundRaiserEditor.php.
- CVE-2023-38762Wysokie
Wersja 5.0.0 ChurchCRM zawiera podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji poprzez parametr friendmonths w pliku /QueryView.php.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in ChurchCRM v.5.0.0 allows a remote attacker to obtain sensitive information via the membermonth parameter within the /QueryView.php.