CVE-2025-68400: ChurchCRM vulnerable a inyección SQL ciega basada en tiempo en ConfirmReportEmail.php

Resumen

Productos afectados

• ChurchCRM/CRM

Detalles

Resumen

Existe una vulnerabilidad crítica de inyección SQL en el endpoint heredado /Reports/ConfirmReportEmail.php en ChurchCRM 6.3.0. Aunque la funcionalidad se eliminó de la interfaz de usuario, el archivo permanece desplegado y accesible directamente mediante URL. Este es un caso clásico de código muerto pero accesible. Cualquier usuario autenticado, incluso uno sin permisos asignados, puede explotar la inyección SQL a través del parámetro familyId.

Detalles

El problema se encuentra en:

src/Reports/ConfirmReportEmail.php

Código vulnerable (líneas 82–83):

if (InputUtils::legacyFilterInput($_GET['familyId'], 'int')) {
    $sSubQuery = ' and fam_id in (' . $_GET['familyId'] . ') ';
}

Por qué esto es vulnerable:

• El valor de retorno de legacyFilterInput() se ignora por completo.
• El valor crudo de $_GET['familyId'] se concatena directamente en una consulta SQL.
• No se aplica escape, comillas, verificación de tipo ni vinculación de parámetros.
• Debido a que el endpoint ya no se referencia en la interfaz de usuario, no se beneficia de los controles de seguridad actualizados del framework.

Endpoint muerto pero accesible:

/Reports/ConfirmReportEmail.php?familyId=<valor>

Comportamiento normal:

302 Redirect → /v2/family/<id>&PDFEmailed=

Las cargas maliciosas que contienen ) o -- rompen la lógica de redirección y ejecutan el SQL vulnerable.

Incluso un usuario con cero permisos puede explotar la vulnerabilidad.
Una carga SLEEP(5) retrasa de forma fiable la respuesta, demostrando la ejecución de SQL.

PoC

El usuario autenticado visita:

http://localhost:8101/Reports/ConfirmReportEmail.php?familyId=1)%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(5)))a)%20--%20-

Resultado observado:

• La respuesta se retrasó ~5 segundos → éxito.
• La redirección se suprimió.
• El SQL vulnerable se ejecutó.

Confirmación con sqlmap:

Impacto

• Compromiso total de la base de datos (lectura/escritura/borrado)
• Extracción de todos los datos sensibles de ChurchCRM
• Posible escalada de privilegios
• Potencial de RCE dependiendo de las funciones SQL y la configuración
• El endpoint vulnerable es accesible a pesar de haber sido eliminado de la interfaz de usuario

Referencias

• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-v54g-2pvg-gvp2

Aviso legal

Este CVE fue divulgado de forma responsable siguiendo las prácticas coordinadas de divulgación de vulnerabilidades. La información aquí proporcionada es solo para fines educativos y defensivos.