CVE-2026-42289 in ChurchCRM
الملخص
بحسب VulDB • 13/05/2026
ChurchCRM هو نظام إدارة كنائز مفتوح المصدر. قبل الإصدار 7.3.2، كانت معالجة إنشاء حسابات المستخدمين وتحديث الصلاحيات في ملف UserEditor.php تتم بالكامل عبر معاملات $_POST دون التحقق من صحة رموز CSRF. يمكن لمهاجم غير مصادق عليه إنشاء صفحة HTML خبيثة، وعند زيارتها من قبل مسؤول مصادق عليه، ترفع بشكل صامت صلاحيات أي مستخدم ذي امتيازات منخفضة إلى امتيازات المسؤول الكاملة، أو تنشئ حسابًا خلفيًا جديدًا للمسؤولين دون علم الضحية. تم إصلاح هذا الثغرة الأمنية في الإصدار 7.3.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.