PT-2025-51867
CVE-2025-62521
·
تاريخ النشر
2025-12-17
·
تاريخ التحديث
2026-04-07
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ChurchCRM السابقة للإصدار 5.21.0
الوصف
ChurchCRM هو نظام مفتوح المصدر لإدارة الكنائس. قبل الإصدار 5.21.0، توجد ثغرة في معالج الإعداد تسمح بتنفيذ تعليمات برمجية عن بُعد دون مصادقة مسبقة. يمكن للمهاجمين غير المصادق عليهم حقن تعليمات برمجية PHP تعسفية أثناء عملية التثبيت الأولية، مما قد يؤدي إلى اختراق الخادم بالكامل. توجد هذه الثغرة في ملف
setup/routes/setup.php، حيث يتم ربط مدخلات المستخدم من نموذج الإعداد مباشرةً بقالب تكوين PHP دون التحقق من صحتها أو تنقيتها. يمكن استخدام أي معلمة في نموذج الإعداد لحقن تعليمات برمجية PHP تُكتب في ملف Include/Config.php ويتم تنفيذها لاحقًا عند تحميل كل صفحة. تعد هذه الثغرة الأمنية أكثر خطورة من المشكلات النموذجية المتعلقة بتنفيذ التعليمات البرمجية عن بُعد بعد المصادقة، لأنها لا تتطلب أي بيانات اعتماد وتؤثر على عملية التثبيت.التوصيات
يجب تحديث الإصدارات الأقدم من 5.21.0 إلى الإصدار 5.21.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾