CVE-2025-66395

ChurchCRM açıq mənbəli kilsə idarəetmə sistemidir. Versiya 6.5.3-dən əvvəl `src/ListEvents.php` faylında SQL inyeksiyası zəifliyi mövcuddur. Tədbirlər növünə görə filtrləmə zamanı `WhichType` POST parametri çox sayda SQL sorğularında istifadə edilməzdən əvvəl düzgün şəkildə təmizlənmir və ya tipə çevrilmir. Bu, hər hansı autentifikasiya olunmuş istifadəçiyə vaxta əsaslanan kor (blind) SQL inyeksiyası hücumları da daxil olmaqla, ixtiyari SQL əmrlərini icra etməyə imkan verir. İmtiyaz səviyyəsindən asılı olmayaraq, hər hansı autentifikasiya olunmuş istifadəçi verilənlər bazasında ixtiyari sorğuları icra edə bilər. Bu, onların istifadəçi etibarnamələri, maliyyə məlumatları və şəxsi məlumatlar da daxil olmaqla, verilənlər bazasındakı hər hansı məlumatı sızdırmasına, dəyişməsinə və ya silməsinə şərait yarada bilər ki, bu da tətbiqin məlumatlarının tamamilə kompromisə düşməsinə gətirib çıxarır. Versiya 6.5.3 bu problemi aradan qaldırır.