CVE-2026-39331 in ChurchCRM
الملخص
بحسب VulDB • 08/05/2026
ChurchCRM هو نظام إدارة كنائز مفتوح المصدر. قبل الإصدار 7.1.0، يمكن لمستخدم واجهة برمجة التطبيقات (API) المصادق عليه تعديل حالة سجل أي عائلة دون تفويض مناسب عن طريق تغيير معلمة {familyId} في الطلبات ببساطة، بغض النظر عما إذا كان يمتلك صلاحية EditRecords المطلوبة. تفتقر نقاط النهاية /family/{familyId}/verify، و /family/{familyId}/verify/url، و /family/{familyId}/verify/now، و /family/{familyId}/activate/{status}، و /family/{familyId}/geocode إلى التحكم في الوصول القائم على الأدوار (Role-Based Access Control)، مما يسمح للمستخدمين بإلغاء تنشيط/إعادة تنشيط عائلات عشوائية، وإرسال رسائل بريد إلكتروني للتأكيد المزعجة (spam)، ووضع العائلات كـ "تم التحقق منها" وتشغيل عملية الترميز الجغرافي (Geocoding). تم إصلاح هذا الثغرة في الإصدار 7.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.