ChurchCRM vulnerable a inyección SQL ciega basada en tiempo en ConfirmReportEmail.php
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
ChurchCRM es un sistema de gestión de iglesias de código abierto. Existe una vulnerabilidad de inyección SQL en el endpoint heredado `/Reports/ConfirmReportEmail.php` en ChurchCRM anterior a la versión 6.5.3. Aunque la funcionalidad se eliminó de la interfaz de usuario, el archivo permanece desplegado y accesible directamente mediante URL. Este es un caso clásico de *código muerto pero alcanzable*. Cualquier usuario autenticado — incluido uno sin permisos asignados — puede explotar la inyección SQL a través del parámetro `familyId`. La versión 6.5.3 corrige el problema.
Divulgación técnica de una vulnerabilidad crítica de inyección SQL ciega basada en tiempo (CVE-2025-68400) en ChurchCRM, incluido el análisis de código vulnerable, la prueba de concepto y la evaluación de impacto para equipos de seguridad defensiva.
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.