漏洞概述 漏洞名称: Time Based Blind SQL Injection via Property Value in ChurchCRM 7.0.5 描述: 拥有编辑记录或管理组权限的用户可以利用 中的基于时间的盲SQL注入漏洞。攻击者可以通过 参数推断数据库内容，包括用户凭据、个人身份信息 (PII) 和配置密钥。 严重程度: High (CVSS 3.1 Score: 8.8) CWE ID: CWE-89 (Improper Neutralization of Special Elements used in an SQL Command) 漏洞原因: 1. 输入清理不足 ( 仅剥离HTML标签，未进行SQL转义)。 2. 直接字符串插值 ( 直接拼接到查询中，未使用预处理语句)。 影响范围 受影响版本: ChurchCRM 7.0.5 修复方案 在调用 函数之前，对 变量使用 进行转义。 修复代码: POC/利用代码 1. Python POC (自动化提取脚本) 2. Manual Testing (curl) 3. Terminal Output (提取演示)**