CVE-2025-68400: ChurchCRM معرّضة لحقن SQL أعمى قائم على الزمن في ConfirmReportEmail.php

نظرة عامة

المنتجات المتأثرة

• ChurchCRM/CRM

التفاصيل

الملخص

توجد ثغرة حقن SQL حرجة في نقطة النهاية القديمة /Reports/ConfirmReportEmail.php في ChurchCRM 6.3.0. على الرغم من إزالة الميزة من واجهة المستخدم، يظل الملف منشورًا ويمكن الوصول إليه مباشرةً عبر URL. هذه حالة كلاسيكية من الكود الميت لكن القابل للوصول. يمكن لأي مستخدم مُصادَق - بما في ذلك من لا يملك أي صلاحيات مُمنوحة - استغلال حقن SQL عبر معامل familyId.

التفاصيل

تقع المشكلة في:

src/Reports/ConfirmReportEmail.php

الكود المعرض للثغرة (الأسطر 82–83):

if (InputUtils::legacyFilterInput($_GET['familyId'], 'int')) {
    $sSubQuery = ' and fam_id in (' . $_GET['familyId'] . ') ';
}

لماذا هذا الكود معرض للثغرة:

• قيمة الإرجاع من legacyFilterInput() تُتجاهَل تمامًا.
• تُدمَج قيمة $_GET['familyId'] الخام مباشرةً في استعلام SQL.
• لا يتم تطبيق أي تهريب (escaping) أو اقتباس (quoting) أو فرض لنوع البيانات أو ربط للمعاملات (parameter binding).
• وبما أن نقطة النهاية لم تعد مُشارًا إليها في واجهة المستخدم، فهي لا تستفيد من ضوابط الأمان المحدّثة في الإطار البرمجي.

نقطة نهاية ميتة لكن قابلة للوصول:

/Reports/ConfirmReportEmail.php?familyId=<value>

السلوك الطبيعي:

302 Redirect → /v2/family/<id>&PDFEmailed=

الحمولات الخبيثة التي تحتوي على ) أو -- تُعطّل منطق إعادة التوجيه وتنفّذ استعلام SQL المعرض للثغرة.

حتى المستخدم الذي يملك صفر صلاحيات يمكنه استغلال الثغرة.
حمولة SLEEP(5) تؤخّر الاستجابة بشكل موثوق، ما يثبت تنفيذ SQL.

إثبات المفهوم (PoC)

يزور مستخدم مُصادَق:

http://localhost:8101/Reports/ConfirmReportEmail.php?familyId=1)%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(5)))a)%20--%20-

النتيجة الملاحظة:

• تأخر الاستجابة بحوالي 5 ثوانٍ → نجاح.
• تم كبت إعادة التوجيه.
• تم تنفيذ استعلام SQL المعرض للثغرة.

تأكيد sqlmap:

التأثير

• اختراق كامل لقاعدة البيانات (قراءة/كتابة/حذف)
• استخراج جميع بيانات ChurchCRM الحساسة
• احتمال تصعيد الامتيازات
• احتمال تنفيذ تعليمات برمجية عن بُعد (RCE) اعتمادًا على دوال SQL والإعدادات
• نقطة النهاية المعرضة للثغرة تظل قابلة للوصول رغم إزالتها من واجهة المستخدم

المراجع

• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-v54g-2pvg-gvp2

إخلاء مسؤولية

تم الإفصاح عن ثغرة CVE هذه بشكل مسؤول وفقًا لممارسات الإفصاح المنسّق عن الثغرات الأمنية. المعلومات الواردة هنا مخصصة للأغراض التعليمية والدفاعية فقط.