ChurchCRM — это система управления церковью с открытым исходным кодом. До версии 7.1.0 аутентифицированный пользователь API мог изменять состояние любой семейной записи без надлежащей авторизации, просто изменяя параметр {familyId} в запросах, независимо от того, обладает ли он необходимой привилегией EditRecords. В /family/{familyId}/verify, /family/{familyId}/verify/url, /family/{familyId}/verify/now, /family/{familyId}/activate/{status} и /family/{familyId}/geocode отсутствует управление доступом на основе ролей, что позволяет пользователям деактивировать/повторно активировать произвольные семьи, рассылать спам-сообщения с подтверждением и отмечать семьи как проверено и активировать геокодирование.
Эта уязвимость исправлена в версии 7.1.0.
Показать оригинальное описание (EN)
ChurchCRM is an open-source church management system. Prior to 7.1.0, an authenticated API user can modify any family record's state without proper authorization by simply changing the {familyId} parameter in requests, regardless of whether they possess the required EditRecords privilege. /family/{familyId}/verify, /family/{familyId}/verify/url, /family/{familyId}/verify/now, /family/{familyId}/activate/{status}, and /family/{familyId}/geocode lack role-based access control, allowing users to deactivate/reactivate arbitrary families, spam verification emails, and mark families as verified and trigger geocoding. This vulnerability is fixed in 7.1.0.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Churchcrm Churchcrm
cpe:2.3:a:churchcrm:churchcrm:*:*:*:*:*:*:*:*
|
— |
7.1.0
|