Vulnerabilidad en CRM de ChurchCRM (CVE-2025-67875)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

17/12/2025

Última modificación:

30/09/2026

Descripción

ChurchCRM es un sistema de gestión de iglesias de código abierto. Una vulnerabilidad de escalada de privilegios existe en ChurchCRM anterior a la versión 6.5.3. Un usuario autenticado con permisos específicos de nivel medio (&#39;Editar Registros&#39; y &#39;Administrar Propiedades y Clasificaciones&#39;) puede inyectar una carga útil persistente de Cross-Site Scripting (XSS) en el perfil de un administrador. La carga útil se ejecuta cuando el administrador ve su propia página de perfil, permitiendo al atacante secuestrar la sesión del administrador, realizar acciones administrativas y lograr una toma de control total de la cuenta. Esta vulnerabilidad es una combinación de dos fallos separados: una Referencia Directa Insegura a Objeto (IDOR) que permite a cualquier usuario ver el perfil de cualquier otro usuario, y una vulnerabilidad de control de acceso roto que permite a un usuario con permisos de edición generales modificar las propiedades de registro de cualquier otro usuario. La versión 6.5.3 soluciona el problema.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.50 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Activo
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.50

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno