CVE-2023-38767
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W ChurchCRM w wersji 5.0.0 występuje podatność na wstrzyknięcie SQL, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez parametry 'value' i 'custom' w pliku /QueryView.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykradzenia wrażliwych danych, co może prowadzić do poważnych naruszeń bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ChurchCRM oraz wprowadzenie odpowiednich zabezpieczeń, aby zminimalizować ryzyko ataku.
Inne podatności w ChurchCRM v.5.0.0
Zobacz wszystkie- CVE-2023-38773Wysokie
W wersji 5.0.0 ChurchCRM występuje podatność na wstrzyknięcie SQL, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji za pomocą parametrów volopp1 i volopp2 w pliku /QueryView.php.
- CVE-2023-38771Wysokie
Podatność typu SQL injection w ChurchCRM w wersji 5.0.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr volopp w pliku /QueryView.php.
- CVE-2023-38770Wysokie
W podatności SQL injection w ChurchCRM w wersji 5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametr grupy w pliku /QueryView.php.
- CVE-2023-38769Wysokie
W podatności SQL injection w ChurchCRM v.5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametry searchstring i searchwhat w pliku /QueryView.php.
- CVE-2023-38768Wysokie
Podatność typu SQL injection w ChurchCRM w wersji 5.0.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr PropertyID w pliku /QueryView.php.
- CVE-2023-38765Wysokie
W podatności SQL injection w ChurchCRM w wersji 5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametr membermonth w pliku /QueryView.php.
- CVE-2023-38764Wysokie
W ChurchCRM w wersji 5.0.0 występuje podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez parametry birthmonth i percls w pliku /QueryView.php.
- CVE-2023-38763Średnie
Wersja 5.0.0 ChurchCRM zawiera podatność na wstrzykiwanie SQL, która pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez parametr FundRaiserID w punkcie końcowym /FundRaiserEditor.php.
- CVE-2023-38762Wysokie
Wersja 5.0.0 ChurchCRM zawiera podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji poprzez parametr friendmonths w pliku /QueryView.php.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in ChurchCRM v.5.0.0 allows a remote attacker to obtain sensitive information via the 'value' and 'custom' parameters within the /QueryView.php.