CVE-2025-68112
KrytyczneStreszczenie
ChurchCRM przed wersją 6.5.3 zawiera podatność na wstrzykiwanie SQL w edytorze uczestników wydarzeń. Uwierzytelniony użytkownik może wykonywać dowolne polecenia SQL, co prowadzi do pełnej kompromitacji bazy danych, kradzieży danych uwierzytelniających administratora i potencjalnego przejęcia systemu. Atakujący może wyodrębnić wrażliwe dane członków, poświadczenia i informacje finansowe. Wersja 6.5.3 zawiera poprawkę.
Ocena ryzyka
Ryzyko obejmuje całkowitą utratę poufności i integralności danych w systemie zarządzania kościołem, w tym danych osobowych i finansowych, oraz możliwość przejęcia kontroli nad systemem przez atakującego.
Rekomendacja
Zaleca się natychmiastową aktualizację ChurchCRM do wersji 6.5.3 lub nowszej, aby wyeliminować podatność na wstrzykiwanie SQL.
Oryginalny opis (angielski, źródło NVD)
ChurchCRM is an open-source church management system. In versions prior to 6.5.3, a SQL injection vulnerability in ChurchCRM's Event Attendee Editor allows authenticated users to execute arbitrary SQL commands, leading to complete database compromise, administrative credential theft, and potential system takeover. The vulnerability enables attackers to extract sensitive member data, authentication credentials, and financial information from the church management system. Version 6.5.3 contains a patch for the issue.