CVE-2025-68400 : ChurchCRM vulnérable à l'injection SQL aveugle basée sur le temps dans ConfirmReportEmail.php

Aperçu

Produits concernés

• ChurchCRM/CRM

Détails

Résumé

Une vulnérabilité critique d'injection SQL existe dans le point de terminaison hérité /Reports/ConfirmReportEmail.php de ChurchCRM 6.3.0. Bien que la fonctionnalité ait été retirée de l'interface utilisateur, le fichier reste déployé et accessible directement via une URL. Il s'agit d'un cas classique de code mort mais accessible. Tout utilisateur authentifié - y compris un utilisateur sans aucune permission assignée - peut exploiter l'injection SQL via le paramètre familyId.

Détails

Le problème se situe dans :

src/Reports/ConfirmReportEmail.php

Code vulnérable (lignes 82–83) :

if (InputUtils::legacyFilterInput($_GET['familyId'], 'int')) {
    $sSubQuery = ' and fam_id in (' . $_GET['familyId'] . ') ';
}

Pourquoi c'est vulnérable :

• La valeur de retour de legacyFilterInput() est entièrement ignorée.
• La valeur brute de $_GET['familyId'] est concaténée directement dans une requête SQL.
• Aucun échappement, encadrement par guillemets, contrôle de type ou liaison de paramètres n'est appliqué.
• Étant donné que le point de terminaison n'est plus référencé dans l'interface utilisateur, il ne bénéficie pas des contrôles de sécurité mis à jour du framework.

Point de terminaison mort mais accessible :

/Reports/ConfirmReportEmail.php?familyId=<value>

Comportement normal :

302 Redirect → /v2/family/<id>&PDFEmailed=

Les charges utiles malveillantes contenant ) ou -- cassent la logique de redirection et exécutent le SQL vulnérable.

Même un utilisateur avec zéro permission peut exploiter la vulnérabilité.
Une charge utile SLEEP(5) retarde de manière fiable la réponse, prouvant l'exécution SQL.

PoC

Un utilisateur authentifié visite :

http://localhost:8101/Reports/ConfirmReportEmail.php?familyId=1)%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(5)))a)%20--%20-

Résultat observé :

• Réponse retardée d'environ 5 secondes → succès.
• Redirection supprimée.
• SQL vulnérable exécuté.

Confirmation avec sqlmap :

Impact

• Compromission complète de la base de données (lecture/écriture/suppression)
• Extraction de toutes les données sensibles de ChurchCRM
• Élévation de privilèges possible
• Potentiel d'exécution de code à distance (RCE) selon les fonctions SQL et la configuration
• Le point de terminaison vulnérable reste accessible malgré son retrait de l'interface utilisateur

Références

• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-v54g-2pvg-gvp2

Avis de non-responsabilité

Cette CVE a été divulguée de manière responsable conformément aux pratiques de divulgation coordonnée des vulnérabilités. Les informations fournies ici sont à des fins éducatives et défensives uniquement.