CVE-2025-68110

ChurchCRM: ujawnienie danych logowania do bazy danych w komunikacie błędu

CVSS 9.9v3.1pub. 2025-12-17upd. 2025-12-18

ChurchCRM w wersjach wcześniejszych niż 6.5.3 może ujawniać poufne informacje o bazie danych — w tym hosta, adres IP, nazwę użytkownika i hasło — w komunikatach o błędach. Podatność jest krytyczna, ponieważ umożliwia uwierzytelnionemu atakującemu uzyskanie pełnych danych dostępowych do bazy danych systemu.

▸ Pokaż oryginał (EN)

ChurchCRM is an open-source church management system. Versions prior to 6.5.3 may disclose database information in an error message including the host, ip, username, and password. Version 6.5.3 fixes the issue.

🤖 Analiza AI

Jak działa

Aplikacja ChurchCRM w przypadku wystąpienia błędu związanego z bazą danych zwraca szczegółowy komunikat błędu zawierający wrażliwe informacje konfiguracyjne. Komunikat ten może zawierać takie dane jak adres hosta, adres IP serwera bazy danych, nazwę użytkownika oraz hasło. Jest to typowy przypadek podatności klasy CWE-209 (generation of error message containing sensitive information) oraz CWE-200 (exposure of sensitive information to an unauthorized actor). Atakujący z dostępem do konta użytkownika może wywołać odpowiedni błąd i odczytać te dane z odpowiedzi aplikacji.

Skutki

Atakujący może uzyskać dane logowania do bazy danych (host, IP, login, hasło), co w praktyce oznacza możliwość bezpośredniego dostępu do bazy danych zawierającej dane całej organizacji kościelnej — w tym danych osobowych wiernych, finansowych i administracyjnych. Przejęcie bazy danych może prowadzić do jej odczytu, modyfikacji lub usunięcia danych.

Mitygacja

Należy zaktualizować ChurchCRM do wersji 6.5.3 lub nowszej, która zawiera poprawkę eliminującą ujawnianie danych połączenia z bazą danych w komunikatach błędów. Szczegóły dostępne w referencjach producenta na GitHub.

Kogo dotyczy

ChurchCRM (system zarządzania parafią) we wszystkich wersjach wcześniejszych niż 6.5.3.

Uwagi

Podatność dotyczy systemu open-source dedykowanego organizacjom religijnym. Poprawka została wydana w wersji 6.5.3, co zostało wprost potwierdzone w opisie producenta.