CVE-2026-58409
Təsvir
ChurchCRM açıq mənbəli kilsə idarəetmə sistemidir. Versiya 7.4.0-dan əvvəl autentifikasiya olunmuş administrator, tərkibində PHP webshell olan zərərli plagin ZIP arxivini yükləməklə serverdə uzaqdan kodun icrasını (RCE) həyata keçirə bilər. Tətbiqin ALLOWED_EXTENSIONS siyahısına açıq şəkildə 'php' daxil edilib, lakin təhlükəli uzantıların qara siyahısı (DENIED_EXTENSIONS) standart .php fayllarının bloklanmasını təmin etmir. Plagin arxivləri üçün icazə verilən uzantılar siyahısına `php` daxil edildiyi və çıxarılan faylların birbaşa veb kök kataloquna yerləşdirildiyi üçün, ZIP daxilindəki hər hansı PHP faylı tətbiqin istifadəçi interfeysi vasitəsilə plagini "aktivləşdirməyə" ehtiyac qalmadan dərhal HTTP vasitəsilə icra edilə bilir. /plugins/install-url API marşrutu (management.php), administratora zərərli ZIP arxivini hücumçunun nəzarətində olan hər hansı HTTPS URL-dən götürməyə imkan verir və onu yalnız hücumçu tərəfindən təqdim edilən SHA-256 heşi ilə yoxlayır. Bu problem versiya 7.4.0-da düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ChurchCRM CRM | < 7.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.