CVE-2025-68109

ChurchCRM — RCE przez upload web shell i .htaccess (przed 6.5.3)

CVSS 9.1v3.1pub. 2025-12-17upd. 2025-12-18

W wersjach ChurchCRM wcześniejszych niż 6.5.3 funkcja przywracania bazy danych nie weryfikuje rozszerzenia ani zawartości przesyłanych plików. Pozwala to atakującemu na wgranie web shell i przejęcie pełnej kontroli nad serwerem poprzez zdalne wykonanie poleceń (RCE).

▸ Pokaż oryginał (EN)

ChurchCRM is an open-source church management system. In versions prior to 6.5.3, the Database Restore functionality does not validate the content or file extension of uploaded files. As a result, an attacker can upload a web shell file and subsequently upload a .htaccess file to enable direct access to it. Once accessed, the uploaded web shell allows remote code execution (RCE) on the server. Version 6.5.3 fixes the issue.

🤖 Analiza AI

Jak działa

Atakujący z uprawnieniami administratora wykorzystuje funkcję Database Restore do przesłania złośliwego pliku (web shell) bez jakiejkolwiek weryfikacji jego rozszerzenia lub zawartości. Następnie wgrywa plik .htaccess, który konfiguruje serwer WWW tak, aby umożliwić bezpośredni dostęp do wgranego web shell. Po uzyskaniu dostępu do web shell atakujący może wykonywać dowolne polecenia systemowe na serwerze (command injection / RCE).

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem — wykonać dowolny kod, odczytać lub zmodyfikować dane, a także przemieszczać się dalej w infrastrukturze (lateral movement). Zagrożone są poufność, integralność i dostępność systemu.

Mitygacja

Należy zaktualizować ChurchCRM do wersji 6.5.3 lub nowszej, która eliminuje opisaną podatność. Patch dostępny w repozytorium producenta: https://github.com/ChurchCRM/CRM/security/advisories/GHSA-pqm7-g8px-9r77

Kogo dotyczy

ChurchCRM w wersjach wcześniejszych niż 6.5.3

Uwagi

Mimo wysokiego wyniku CVSS (9.1 CRITICAL) wymagane są uprawnienia administratora (PR:H), co nieznacznie ogranicza powierzchnię ataku — podatność jest jednak szczególnie groźna w środowiskach z wieloma użytkownikami administracyjnymi lub przy przejęciu konta admina.