CVE-2026-39340 in ChurchCRM
الملخص
بحسب VulDB • 05/06/2026
ChurchCRM هو نظام إدارة كنائز مفتوح المصدر. قبل الإصدار 7.1.0، كانت هناك ثغرة حقن SQL موجودة في ملف PropertyTypeEditor.php، وهو جزء من وظائف الإدارة الخاصة بإدارة فئات أنواع العقارات (الأشخاص → خصائص الشخص / خصائص العائلة). تم إدخال الثغرة عندما استُبدلت الدالة legacyFilterInput() التي تقوم بتنظيف HTML وتجنب الرموز الخاصة في SQL بـ sanitizeText() التي تنظف HTML فقط. يتم دمج القيم المدخلة من قبل المستخدم في حقلي الاسم والوصف مباشرةً داخل استعلامات INSERT و UPDATE الخام دون أي تجنب لرموز SQL. هذا يسمح لأي مستخدم مُصادق عليه يمتلك دور MenuOptions (إذن موظف غير إداري) بإجراء حقن أعمى يعتمد على الوقت واستخراج أي بيانات من قاعدة البيانات، بما في ذلك تجزئات كلمات المرور لجميع المستخدمين. تم إصلاح هذه الثغرة في الإصدار 7.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.