CVE-2025-68400: ChurchCRM 在 ConfirmReportEmail.php 中存在基于时间的盲SQL注入漏洞

概述

受影响的产品

• ChurchCRM/CRM

详情

摘要

ChurchCRM 6.3.0 中的遗留端点 /Reports/ConfirmReportEmail.php 存在一个严重的SQL注入漏洞。虽然该功能已从 UI 中移除，但该文件仍然部署在服务器上，并可直接通过 URL 访问。这是一个典型的死代码但可访问的情况。任何经过身份验证的用户——包括没有分配任何权限的用户——都可以通过 familyId 参数利用 SQL 注入。

详情

问题位于：

src/Reports/ConfirmReportEmail.php

漏洞代码（第 82-83 行）：

if (InputUtils::legacyFilterInput($_GET['familyId'], 'int')) {
    $sSubQuery = ' and fam_id in (' . $_GET['familyId'] . ') ';
}

为什么存在漏洞：

• legacyFilterInput() 的返回值被完全忽略。
• 原始的 $_GET['familyId'] 值被直接拼接到 SQL 查询中。
• 未进行转义、引号包裹、类型强制或参数绑定。
• 由于该端点不再在 UI 中被引用，因此它没有受益于更新的框架安全控制。

已废弃但仍可访问的端点：

/Reports/ConfirmReportEmail.php?familyId=<value>

正常行为：

302 Redirect → /v2/family/<id>&PDFEmailed=

包含 ) 或 -- 的恶意负载会破坏重定向逻辑并执行有漏洞的 SQL。

即使是一个拥有零权限的用户也可以利用此漏洞。
一个 SLEEP(5) 负载会可靠地延迟响应，证明 SQL 被执行。

PoC

已认证用户访问：

http://localhost:8101/Reports/ConfirmReportEmail.php?familyId=1)%20AND%20(SELECT%201%20FROM%20(SELECT(SLEEP(5)))a)%20--%20-

观察结果：

• 响应延迟约 5 秒 → 成功。
• 重定向被抑制。
• 执行了有漏洞的 SQL。

sqlmap 确认：

影响

• 完全数据库沦陷（读/写/删除）
• 提取所有 ChurchCRM 敏感数据
• 可能的权限提升
• 根据 SQL 函数和配置，可能实现远程代码执行
• 尽管已从 UI 中移除，该易受攻击的端点仍然可以访问

参考

• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-v54g-2pvg-gvp2

免责声明

此 CVE 已按照协调漏洞披露实践负责任地披露。此处提供的信息仅用于教育和防御目的。