🇰🇷 한글 설명
ChurchCRM 7.4.0 미만 버전에서 가족 범위 엔드포인트에 권한 부여 결함이 존재합니다. 권한이 낮은 사용자가 다른 가족의 familyId를 입력하여 타인의 기록을 읽거나 수정할 수 있는 취약점입니다. 이로 인해 EditSelf 권한을 가진 사용자가 자신의 범위를 벗어나 다른 교인 기록에 접근할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 다른 가족의 고유 번호를 입력하여 그들의 개인 정보를 몰래 보거나 수정할 수 있는 보안 구멍입니다. 원래는 자기 가족 정보만 관리할 수 있어야 하는데, 시스템이 번호만 맞으면 누구의 정보인지 확인하지 않아 발생합니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to version 7.4.0, there was an authorization flaw in the family-scoped endpoints which allowed low-privileged users to read and modify other families’ records. An authenticated non-admin user with EditSelf access can supply another family’s `familyId` and access records outside their own family scope. The backend trusts the attacker-controlled `familyId` and loads the corresponding family entity by ID without verifying that the requested family belongs to the current user. If the same user also has Notes permission, they can create notes on another family’s record. This breaks the intended EditSelf scope and allows access to unrelated congregation records. This issue has been fixed in version 7.4.0.
📍 영향받는 시스템
ChurchCRM 7.4.0 미만 모든 버전
⚔️ 공격 벡터
인증된 저권한 사용자가 API 요청 시 familyId 파라미터를 타인의 ID로 조작하여 전송
🛡️ 대응 방법
ChurchCRM을 최신 버전인 7.4.0 이상으로 업데이트
🔧 검증 코드
명령어 결과에 7.0.0부터 7.3.x 버전이 나타나면 취약한 버전이 설치된 상태입니다.
curl -s http://<target_ip>/churchcrm/version.php | grep -E '7\.[0-3]\.'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access