CVE-2023-38769
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W podatności SQL injection w ChurchCRM v.5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametry searchstring i searchwhat w pliku /QueryView.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do kradzieży danych, co może prowadzić do poważnych naruszeń prywatności i bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ChurchCRM oraz wprowadzenie filtracji danych wejściowych w celu zminimalizowania ryzyka ataków SQL injection.
Inne podatności w ChurchCRM v.5.0.0
Zobacz wszystkie- CVE-2023-38773Wysokie
W wersji 5.0.0 ChurchCRM występuje podatność na wstrzyknięcie SQL, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji za pomocą parametrów volopp1 i volopp2 w pliku /QueryView.php.
- CVE-2023-38771Wysokie
Podatność typu SQL injection w ChurchCRM w wersji 5.0.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr volopp w pliku /QueryView.php.
- CVE-2023-38770Wysokie
W podatności SQL injection w ChurchCRM w wersji 5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametr grupy w pliku /QueryView.php.
- CVE-2023-38768Wysokie
Podatność typu SQL injection w ChurchCRM w wersji 5.0.0 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr PropertyID w pliku /QueryView.php.
- CVE-2023-38767Wysokie
W ChurchCRM w wersji 5.0.0 występuje podatność na wstrzyknięcie SQL, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez parametry 'value' i 'custom' w pliku /QueryView.php.
- CVE-2023-38765Wysokie
W podatności SQL injection w ChurchCRM w wersji 5.0.0, zdalny atakujący może uzyskać dostęp do wrażliwych informacji poprzez parametr membermonth w pliku /QueryView.php.
- CVE-2023-38764Wysokie
W ChurchCRM w wersji 5.0.0 występuje podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez parametry birthmonth i percls w pliku /QueryView.php.
- CVE-2023-38763Średnie
Wersja 5.0.0 ChurchCRM zawiera podatność na wstrzykiwanie SQL, która pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez parametr FundRaiserID w punkcie końcowym /FundRaiserEditor.php.
- CVE-2023-38762Wysokie
Wersja 5.0.0 ChurchCRM zawiera podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji poprzez parametr friendmonths w pliku /QueryView.php.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in ChurchCRM v.5.0.0 allows a remote attacker to obtain sensitive information via the searchstring and searchwhat parameters within the /QueryView.php.