CVE-2025-67875 in ChurchCRM
Tóm tắt
Bởi VulDB • 31/07/2026
ChurchCRM là một hệ thống quản lý nhà thờ mã nguồn mở. Một lỗ hổng tăng cường đặc quyền tồn tại trong ChurchCRM trước phiên bản 6.5.3. Người dùng đã xác thực với các quyền cấp trung cụ thể ("Chỉnh sửa Hồ sơ" và "Quản lý Thuộc tính và Phân loại") có thể chèn một tải trọng Cross-Site Scripting (XSS) liên tục vào hồ sơ của quản trị viên. Tải trọng này sẽ được thực thi khi quản trị viên xem trang hồ sơ của chính mình, cho phép kẻ tấn công chiếm đoạt phiên làm việc của quản trị viên, thực hiện các hành động quản trị và đạt được quyền kiểm soát hoàn toàn tài khoản. Lỗ hổng này là sự kết hợp của hai lỗi riêng biệt: một lỗ hổng Insecure Direct Object Reference (IDOR) cho phép bất kỳ người dùng nào xem hồ sơ của mọi người dùng khác, và một lỗ hổng Broken Access Control cho phép người dùng có quyền chỉnh sửa chung sửa đổi các thuộc tính bản ghi của mọi người dùng khác. Phiên bản 6.5.3 đã khắc phục sự cố này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.