CVE-2025-68400: ChurchCRM의 ConfirmReportEmail.php에서 시간 기반 블라인드 SQL 인젝션 취약점

개요

영향을 받는 제품

• ChurchCRM/CRM

세부정보

요약

ChurchCRM 6.3.0의 레거시 엔드포인트 /Reports/ConfirmReportEmail.php에 치명적인 SQL 인젝션 취약점이 존재합니다. 이 기능은 UI에서 제거되었지만, 해당 파일은 계속 배포되어 URL을 통해 직접 접근할 수 있습니다. 이는 전형적인 죽었지만 접근 가능한 코드(dead but reachable code) 사례입니다. 권한이 하나도 할당되지 않은 사용자를 포함한 모든 인증된 사용자가 familyId 매개변수를 통해 SQL 인젝션을 악용할 수 있습니다.

세부정보

문제는 다음 위치에 있습니다:

src/Reports/ConfirmReportEmail.php

취약한 코드(82~83행):

if (InputUtils::legacyFilterInput($_GET['familyId'], 'int')) {
    $sSubQuery = ' and fam_id in (' . $_GET['familyId'] . ') ';
}

취약한 이유:

• legacyFilterInput()의 반환 값이 완전히 무시됩니다.
• 원시 $_GET['familyId'] 값이 SQL 쿼리에 직접 연결됩니다.
• 이스케이프, 따옴표 처리, 형식 강제, 또는 매개변수 바인딩이 적용되지 않습니다.
• 이 엔드포인트는 더 이상 UI에서 참조되지 않기 때문에 업데이트된 프레임워크 보안 제어의 혜택을 받지 못합니다.

죽었지만 접근 가능한 엔드포인트:

/Reports/ConfirmReportEmail.php?familyId=<value>

정상 동작:

302 Redirect → /v2/family/<id>&PDFEmailed=

) 또는 --를 포함하는 악성 페이로드는 리다이렉트 로직을 깨뜨리고 취약한 SQL을 실행합니다.

권한이 전혀 없는 사용자도 이 취약점을 악용할 수 있습니다.
SLEEP(5) 페이로드는 응답을 안정적으로 지연시켜 SQL 실행을 입증합니다.

PoC

인증된 사용자가 다음 URL에 접속합니다:

http://localhost:8101/Reports/ConfirmReportEmail.php?familyId=1)%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(5)))a)%20--%20-

관찰된 결과:

• 응답이 약 5초 지연됨 → 성공.
• 리다이렉트가 억제됨.
• 취약한 SQL이 실행됨.

sqlmap 확인:

영향

• 데이터베이스 전체 손상(읽기/쓰기/삭제)
• 모든 민감한 ChurchCRM 데이터 추출
• 권한 상승 가능성
• SQL 함수 및 구성에 따라 RCE(원격 코드 실행) 가능성
• 취약한 엔드포인트는 UI에서 제거되었음에도 접근 가능

참고 자료

• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-v54g-2pvg-gvp2

고지 사항

이 CVE는 조정된 취약점 공개(coordinated vulnerability disclosure) 절차에 따라 책임감 있게 공개되었습니다. 여기에 제공된 정보는 교육 및 방어 목적으로만 사용됩니다.