PT-2025-7492
CVE-2025-1132
·
تاريخ النشر
2025-02-19
·
تاريخ التحديث
2025-02-25
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:L/SA:H/AU:Y/R:U/V:C/RE:H/U:Red
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
الإصدارات 5.13.0 وما قبلها من ChurchCRM
الوصف
توجد ثغرة أمنية تتمثل في حقن SQL أعمى قائم على الوقت في الملف
EditEventAttendees.php داخل المعلمة EN tyid. يتم إدخال المعلمة مباشرةً في استعلام SQL دون التعقيم اللازم، مما يسمح للمهاجمين بحقن أوامر SQL ضارة. قد تسمح هذه الثغرة للمهاجمين بتأخير الاستجابة، مما يشير إلى وجود ثغرة أمنية تتعلق بحقن SQL. وعلى الرغم من أنها ثغرة حقن SQL أعمى تعتمد على الوقت، إلا أنه يمكن استغلالها للحصول على معلومات حول قاعدة البيانات الأساسية، وقد يؤدي الاستغلال الإضافي إلى استرداد بيانات حساسة. تتطلب هذه الثغرة أذونات المسؤول.التوصيات
بالنسبة للإصدارات 5.13.0 وما قبلها من ChurchCRM، كحل مؤقت، يُنصح بتقييد الوصول إلى الملف
EditEventAttendees.php والمعلمة EN tyid لتقليل مخاطر الاستغلال إلى أدنى حد. تجنب استخدام المعلمة EN tyid في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾