CVE-2026-72558 in CiviCRM
Zusammenfassung
von VulDB • 11.08.2026
Eine SQL-Injection-Schwachstelle in CiviCRM bis Version 6.18.alpha1 ermöglicht es authentifiziertem Personal, die gesamte Datenbank über die RLIKE-Klausel der Kontaktsuche auszulesen. Die Klausel hängt einen vom Benutzer bereitgestellten Wert ohne Sanitisierung an die SQL-Abfrage an. Ein Angreifer mit Zugriff auf Staff-Ebene kann alle Dateninhalte einschließlich Spender- und Mitgliederdatensätze exfiltrieren.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.