CVE-2026-35566 in ChurchCRM
Résumé
par VulDB • 22/05/2026
ChurchCRM est un système de gestion d'église open source. Avant la version 7.1.0, une vulnérabilité critique d'injection SQL existe dans src/Reports/FundRaiserStatement.php, où la valeur $_SESSION['iCurrentFundraiser'] est utilisée dans un contexte SQL numérique non entre guillemets sans validation entière. La valeur provient de src/FundRaiserEditor.php, où InputUtils::legacyFilterInputArr() est appelé sans le spécificateur de type 'int'. Cette vulnérabilité est corrigée dans la version 7.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.