🇰🇷 한글 설명
ChurchCRM 7.4.0 미만 버전에서 인증된 관리자가 악성 PHP 웹쉘이 포함된 ZIP 플러그인을 설치하여 원격 코드 실행(RCE)을 수행할 수 있는 취약점입니다. 허용된 확장자 목록에 'php'가 포함되어 있고 차단 목록이 불충분하여, 압축 해제된 PHP 파일이 웹 루트에 직접 배치되어 즉시 실행될 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 공격자가 가짜 플러그인을 설치하면 서버에 몰래 명령을 내릴 수 있는 파일을 심을 수 있습니다. 이 파일은 설치 즉시 작동하여 서버 전체를 제어할 수 있게 만듭니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to version 7.4.0, an authenticated administrator can achieve Remote Code Execution (RCE) on the server by installing a malicious plugin ZIP archive containing a PHP webshell. The application explicitly includes 'php' in its ALLOWED_EXTENSIONS list, while the dangerous extensions denylist (DENIED_EXTENSIONS) fails to block standard .php files. Because `php` is explicitly included in the allowed extension list for plugin archives, and extracted files are placed directly under the web root, any PHP file inside the ZIP becomes immediately executable via HTTP — without even needing to "enable" the plugin through the application UI. The /plugins/install-url API route (management.php) allows an administrator to source the malicious ZIP from any attacker-controlled HTTPS URL, validating it only against an attacker-supplied SHA-256 hash. This issue has been fixed in version 7.4.0.
📍 영향받는 시스템
ChurchCRM 7.4.0 미만 모든 버전
⚔️ 공격 벡터
인증된 관리자가 악성 PHP 파일이 포함된 ZIP 아카이브를 외부 URL을 통해 설치하여 웹 루트에 실행 가능한 파일을 생성함
🛡️ 대응 방법
ChurchCRM을 최신 버전인 7.4.0 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
애플리케이션의 버전 정보를 확인하여 7.4.0 미만인지 확인하십시오.
php -r 'echo "ChurchCRM_VERSION_CHECK";' | grep -q "ChurchCRM" && echo "Check version manually via UI or composer.json"
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server