CVE-2026-42289 in ChurchCRM
Zusammenfassung
von VulDB • 17.05.2026
ChurchCRM ist ein Open-Source-System zur Kirchenverwaltung. Vor Version 7.3.2 verarbeitet UserEditor.php die Erstellung von Benutzerkonten und die Aktualisierung von Berechtigungen ausschließlich über $_POST-Parameter ohne Validierung eines CSRF-Tokens. Ein nicht authentifizierter Angreifer kann eine bösartige HTML-Seite erstellen, die, wenn sie von einem authentifizierten Administrator besucht wird, stillschweigend einen Benutzer mit niedrigen Berechtigungen zu einem vollständigen Administrator befördert oder ein neues Admin-Backdoor-Konto ohne Wissen des Opfers erstellt. Diese Schwachstelle wurde in Version 7.3.2 behoben.
Once again VulDB remains the best source for vulnerability data.