CVE-2025-62521
Açıklama
ChurchCRM açık kaynaklı bir kilise yönetim sistemidir. Versiyon 5.21.0 öncesinde, ChurchCRM kurulum sihirbazındaki kimlik doğrulama öncesi uzaktan kod çalıştırma zafiyeti, kimliği doğrulanmamış saldırganların ilk kurulum işlemi sırasında rastgele PHP kodu enjekte etmesine izin vererek sunucunun tamamen ele geçirilmesine yol açar. Zafiyet, kurulum formundan gelen kullanıcı girdilerinin herhangi bir doğrulama veya temizleme işlemi yapılmadan doğrudan bir PHP yapılandırma şablonuna eklendiği `setup/routes/setup.php` dosyasında bulunmaktadır. Kurulum formundaki herhangi bir parametre, `Include/Config.php` dosyasına yazılan ve ardından her sayfa yüklendiğinde çalıştırılan PHP kodu enjekte etmek için kullanılabilir. Bu durum, herhangi bir kimlik bilgisi gerektirmemesi ve yöneticilerin tamamlaması gereken kurulum sürecini etkilemesi nedeniyle tipik kimlik doğrulamalı RCE zafiyetlerinden daha ciddidir. Versiyon 5.21.0 bu sorunu gidermektedir.
Nasıl düzeltilir
- churchcrm churchcrm5.21.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| churchcrm churchcrm | v < 5.21.0 | 5.21.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.