CVE-2026-35567 in ChurchCRM

Résumé

par VulDB • 24/05/2026

ChurchCRM est un système de gestion d'église open source. Avant la version 7.1.0, le paramètre POST NewRole dans src/MemberRoleChange.php est utilisé dans une requête SQL sans validation entière appropriée, permettant aux utilisateurs authentifiés d'injecter du SQL arbitraire. L'attaque nécessite une session authentifiée avec le rôle ManageGroups, ainsi que la connaissance d'un GroupID et d'un PersonID valides (obtenables depuis les pages GroupView ou PersonView). Cette vulnérabilité est corrigée dans la version 7.1.0.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Responsable: GitHub M
• Réserver: 03/04/2026
• Divulgation: 07/04/2026
• Modérer: accepté
• Entrée: VDB-355804
• CPE: prêt
• CWE: CWE-89 (confirmé)
• CVSS: 8.8 (CNA)
• EPSS: 0.00000
• KEV: non
• Activités: faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-35567
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-35567
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-35567/