CVE-2025-68400: ChurchCRM уязвим к time-based blind SQL-инъекции в ConfirmReportEmail.php

Обзор

Затронутые продукты

• ChurchCRM/CRM

Подробности

Краткое описание

Критическая уязвимость SQL-инъекции существует в устаревшей конечной точке /Reports/ConfirmReportEmail.php в ChurchCRM 6.3.0. Хотя функция была удалена из пользовательского интерфейса, файл остается развернутым и доступным напрямую по URL. Это классический случай мертвого, но доступного кода. Любой аутентифицированный пользователь, в том числе с нулевыми правами, может эксплуатировать SQL-инъекцию через параметр familyId.

Подробности

Проблема находится в:

src/Reports/ConfirmReportEmail.php

Уязвимый код (строки 82–83):

if (InputUtils::legacyFilterInput($_GET['familyId'], 'int')) {
    $sSubQuery = ' and fam_id in (' . $_GET['familyId'] . ') ';
}

Почему это уязвимо:

• Возвращаемое значение legacyFilterInput() полностью игнорируется.
• Необработанное значение $_GET['familyId'] напрямую конкатенируется в SQL-запрос.
• Не применяется экранирование, кавычки, проверка типа или привязка параметров.
• Поскольку конечная точка больше не используется в пользовательском интерфейсе, она не выигрывает от обновленных механизмов безопасности фреймворка.

Мертвая, но доступная конечная точка:

/Reports/ConfirmReportEmail.php?familyId=<value>

Нормальное поведение:

302 Redirect → /v2/family/<id>&PDFEmailed=

Вредоносные полезные нагрузки, содержащие ) или --, нарушают логику перенаправления и выполняют уязвимый SQL.

Даже пользователь с нулевыми правами может эксплуатировать уязвимость.
Полезная нагрузка SLEEP(5) надежно задерживает ответ, что подтверждает выполнение SQL.

PoC

Аутентифицированный пользователь посещает:

http://localhost:8101/Reports/ConfirmReportEmail.php?familyId=1)%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(5)))a)%20--%20-

Наблюдаемый результат:

• Задержка ответа ~5 секунд → успех.
• Перенаправление подавлено.
• Выполнен уязвимый SQL.

Подтверждение через sqlmap:

Воздействие

• Полный компромисс базы данных (чтение/запись/удаление)
• Извлечение всех конфиденциальных данных ChurchCRM
• Возможное повышение привилегий
• Потенциальная возможность удаленного выполнения кода (RCE) в зависимости от функций SQL и конфигурации
• Уязвимая конечная точка доступна, несмотря на удаление из пользовательского интерфейса

Ссылки

• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-v54g-2pvg-gvp2

Отказ от ответственности

Этот CVE был ответственно раскрыт в соответствии с практикой координированного раскрытия уязвимостей. Предоставленная информация предназначена только для образовательных и защитных целей.