CVE-2025-68400: ChurchCRM の ConfirmReportEmail.php における時間ベースのブラインド SQL インジェクション

概要

影響を受ける製品

• ChurchCRM/CRM

詳細

要約

ChurchCRM 6.3.0 のレガシーエンドポイント /Reports/ConfirmReportEmail.php に、重大な SQL インジェクションの脆弱性が存在します。この機能は UI から削除されましたが、ファイルはデプロイされたまま URL から直接到達可能です。これは、デッドだが到達可能なコードの典型的なケースです。割り当てられた権限がゼロのユーザーを含む、認証済みのすべてのユーザーが、familyId パラメータを介して SQL インジェクションを悪用できます。

詳細

問題箇所は以下のファイルにあります：

src/Reports/ConfirmReportEmail.php

脆弱なコード（82–83行目）：

if (InputUtils::legacyFilterInput($_GET['familyId'], 'int')) {
    $sSubQuery = ' and fam_id in (' . $_GET['familyId'] . ') ';
}

なぜ脆弱なのか：

• legacyFilterInput() の戻り値が完全に無視されています。
• 生の $_GET['familyId'] の値が SQL クエリに直接連結されています。
• エスケープ、クォート、型の強制、パラメータバインドのいずれも適用されていません。
• このエンドポイントは UI で参照されなくなったため、更新されたフレームワークのセキュリティ対策の恩恵を受けていません。

デッドだが到達可能なエンドポイント：

/Reports/ConfirmReportEmail.php?familyId=<value>

通常時の動作：

302 Redirect → /v2/family/<id>&PDFEmailed=

) または -- を含む悪意のあるペイロードは、リダイレクトのロジックを壊し、脆弱な SQL を実行します。

権限がゼロのユーザーでも、この脆弱性を悪用できます。
SLEEP(5) ペイロードはレスポンスを確実に遅延させ、SQL の実行を証明します。

PoC

認証済みユーザーが以下にアクセスします：

http://localhost:8101/Reports/ConfirmReportEmail.php?familyId=1)%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(5)))a)%20--%20-

確認された結果：

• レスポンスが約5秒遅延 → 成功。
• リダイレクトが抑制された。
• 脆弱な SQL が実行された。

sqlmap による確認：

影響

• データベースの完全な侵害（読み取り/書き込み/削除）
• ChurchCRM のすべての機密データの抽出
• 特権昇格の可能性
• SQL の関数と設定によっては RCE の可能性
• UI から削除されたにもかかわらず、脆弱なエンドポイントに到達可能

参照

• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-v54g-2pvg-gvp2

免責事項

本 CVE は、協調的な脆弱性開示の慣行に従い、責任を持って開示されました。ここに記載されている情報は、教育目的および防御目的のみで提供されます。