Към съдържанието
Търсене

CVE-2025-1135: ChurchCRM, инжекция

9.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

A vulnerability exists in ChurchCRM 5.13.0. and prior that allows an attacker to execute arbitrary SQL queries by exploiting a boolean-based and time-based blind SQL Injection vulnerability in the BatchWinnerEntry functionality. The CurrentFundraiser parameter is directly concatenated into an SQL query without sufficient sanitization, allowing an attacker to manipulate database queries and execute arbitrary commands, potentially leading to data exfiltration, modification, or deletion. Please note the vulnerability requires Administrator privileges.

Засегнати продукти

  • ChurchCRM ChurchCRM: ChurchCRM 5.13.0 and prior

Вид слабост

История

  • 19 февруари 2025 Публикувано

Други уязвимости в ChurchCRM ChurchCRM

Първоизточници

CVE-2025-1135: ChurchCRM, инжекция | freedomonline.bg