GHSA-84jj-m83w-7hmv: shadeforge 悪意のあるパッケージ - 完全な侵害の可能性

ChurchCRM 5.13.0 (CVE-2025-1024) には、EditEventAttendees.php ページにおける反射型クロスサイトスクリプティング (XSS) の脆弱性が存在し、攻撃者が被害者のブラウザで任意の JavaScript コードを実行できる可能性があります。この脆弱性は管理者権限を必要とし、EID パラメータに影響を与えます。攻撃者はこの脆弱性を悪用して、セッションクッキーを盗み、認証されたユーザーになりすまして操作を実行し、アプリケーションへの不正アクセスを得ることができます。これは、ChurchCRM インスタンスの完全な侵害と機密データの漏洩につながる可能性があるため、重大なリスクとなります。XSS の反射的性質により、悪意のあるスクリプトがユーザーに直接返されるため、悪用が比較的容易になります。

Organizations utilizing ChurchCRM, particularly those with administrative users who may be targeted by social engineering attacks, are at risk. Shared hosting environments where multiple ChurchCRM instances reside on the same server could potentially expose multiple organizations to this vulnerability if one instance is compromised.

• php: Examine access logs for suspicious requests to EditEventAttendees.php containing unusual characters or JavaScript code in the EID parameter. Look for patterns like <script> or javascript:.

grep -i 'script|javascript' /var/log/apache2/access.log | grep EditEventAttendees.php

• generic web: Use curl to test the EditEventAttendees.php endpoint with a simple XSS payload (e.g., <script>alert('XSS')</script>) in the EID parameter and observe the response for signs of script execution.

curl 'http://your-churchcrm-instance/EditEventAttendees.php?EID=<script>alert("XSS")</script>' -s

1. 2025-02-19Disclosure

   disclosure

1. 予約済み2025-02-04
2. 公開日2025-02-19
3. EPSS 更新日2026-04-02

CVE-2025-1024 の主な軽減策は、ChurchCRM をバージョン 5.13.1 以降にアップグレードすることです。このバージョンには、XSS 脆弱性に対する必要な修正が含まれています。その間は、特に EditEventAttendees.php ページの EID パラメータについて、堅牢な入力検証と出力サニタイズを実装してください。管理者権限を見直し、制限し、必要な場合にのみアクセスを許可します。疑わしいアクティビティがないか、アプリケーションログを定期的に監視してください。インラインスクリプトの実行をさらに制限するために、Content Security Policy (CSP) の実装を検討してください。積極的なセキュリティ対策とタイムリーなパッチ適用は、ChurchCRM デプロイメントの整合性を維持するために不可欠です。