Vulnerabilidad en ChurchCRM (CVE-2025-1132)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
19/02/2025
Última modificación:
25/02/2025
Descripción
Existe una vulnerabilidad de inyección Blind SQL basada en el tiempo en ChurchCRM 5.13.0 y anteriores EditEventAttendees.php dentro del parámetro EN_TYID. El parámetro se inserta directamente en una consulta SQL sin la depuración adecuada, lo que permite a los atacantes inyectar comandos SQL maliciosos. Tenga en cuenta que la vulnerabilidad requiere permisos de administrador. Este defecto puede permitir potencialmente a los atacantes retrasar la respuesta, lo que indica la presencia de una vulnerabilidad de inyección SQL. Si bien es una inyección ciega basada en el tiempo, se puede explotar para obtener información sobre la base de datos subyacente, y con una mayor explotación, se pueden recuperar datos confidenciales.
Impacto
Puntuación base 4.0
9.30
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:churchcrm:churchcrm:*:*:*:*:*:*:*:* | 5.13.0 (incluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página