CVE-2025-66396

ChurchCRM açık kaynaklı bir kilise yönetim sistemidir. Versiyon 6.5.3 öncesinde, `src/UserEditor.php` dosyasında bir SQL injection zafiyeti bulunmaktadır. Bir yönetici, bir kullanıcının yapılandırma ayarlarını kaydettiğinde, `type` POST parametre dizisinin anahtarları birden fazla SQL sorgusunda kullanılmadan önce uygun şekilde temizlenmemekte veya tür dönüşümüne tabi tutulmamaktadır. Bu durum, kötü niyetli veya ele geçirilmiş bir yönetici hesabının, veritabanıyla doğrudan etkileşime girmek için zaman tabanlı kör SQL injection saldırıları da dahil olmak üzere rastgele SQL komutları yürütmesine olanak tanır. Zafiyet, `src/UserEditor.php` içerisinde kullanıcıya özel yapılandırma ayarlarının kaydedilmesini yöneten mantıkta yer almaktadır. POST isteğinden gelen `type` parametresi bir dizi olarak işlenir. Kod bu dizi üzerinde döngü kurar ve sayısal bir kimlik olması beklenen dizi anahtarını çıkarmak için `key($type)` fonksiyonunu kullanır. Bu anahtar daha sonra `$id` değişkenine atanır. `$id` değişkeni, herhangi bir temizleme veya doğrulama yapılmaksızın doğrudan bir `SELECT` ve bir `UPDATE` SQL sorgusuna eklenerek bir enjeksiyon vektörü oluşturur. Zafiyetin istismar edilmesi için yönetici ayrıcalıkları gerekse de, kötü niyetli veya ele geçirilmiş bir yönetici hesabının rastgele SQL sorguları yürütmesine izin verir. Bu; uygulama düzeyindeki tüm günlükleme veya kısıtlamaları atlamak, veritabanını doğrudan manipüle etmek, tüm verileri (diğer kullanıcı kimlik bilgileri, finansal kayıtlar ve kişisel bilgiler dahil) sızdırmak, değiştirmek veya silmek için kullanılabilir ve veritabanı yapılandırması ile kullanıcı ayrıcalıklarına bağlı olarak sunucuya dosya yazmak gibi daha ileri sistem ihlallerine yol açabilir. Versiyon 6.5.3 bu sorunu gidermektedir.