CVE-2025-62521 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：ChurchCRM 安装向导存在**代码注入**漏洞。未经验证的用户输入被直接写入配置文件。后果严重，可能导致**远程代码执行 (RCE)**，服务器彻底沦陷。
Q2根本原因？（CWE/缺陷点）
🔍 **根本原因**：**CWE-94**（代码生成不当）。缺陷点在于**安装向导**模块，对输入数据缺乏严格的**验证和过滤**，导致恶意代码被持久化到配置文件中。
Q3影响谁？（版本/组件）
🛡️ **影响范围**：**ChurchCRM** 开源 CRM 系统。具体为 **5.21.0 之前**的所有版本。只要是使用旧版 ChurchCRM 的教会或机构，均在高危名单中。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：攻击者可获取**最高权限**。不仅能完全控制服务器，还能窃取敏感数据、植入后门、篡改数据库，实现**完全接管**。
Q5利用门槛高吗？（认证/配置）
⚡ **利用门槛**：**极低**。CVSS 评分显示 **AV:N**（网络攻击）、**AC:L**（低复杂度）、**PR:N**（无需认证）。攻击者无需登录，直接通过安装向导接口即可利用。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp 现状**：目前**暂无公开 PoC** 或**在野利用**报告。但鉴于漏洞原理简单且无需认证，黑客极易自行编写利用脚本，风险随时爆发。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查系统是否为 ChurchCRM 且版本 **< 5.21.0**。重点监控安装向导接口的异常请求，以及配置文件中是否出现异常的 PHP 代码片段。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：已发布安全公告 (GHSA-m8jq-j3p9-2xf3)。建议立即升级至 **5.21.0 或更高版本**以修复此代码注入缺陷。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法立即升级，建议**禁用安装向导**入口，或在 Web 服务器层面对安装脚本进行**IP 白名单限制**，阻断外部访问。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。CVSS 满分 10 分，无需认证即可远程执行代码。请立即安排升级，防止服务器被黑！