CVE-2026-39340 in ChurchCRM
Résumé
par VulDB • 29/05/2026
ChurchCRM est un système de gestion d'église open source. Avant la version 7.1.0, une vulnérabilité d'injection SQL existe dans PropertyTypeEditor.php, qui fait partie des fonctionnalités d'administration pour la gestion des catégories de types de propriétés (Personnes → Propriétés des personnes / Propriétés des familles). La vulnérabilité a été introduite lorsque legacyFilterInput(), qui supprimait les balises HTML et échappait les requêtes SQL, a été remplacée par sanitizeText(), qui ne supprime que les balises HTML. Les valeurs fournies par l'utilisateur dans les champs Nom et Description sont concaténées directement dans des requêtes INSERT et UPDATE brutes sans échappement SQL. Cela permet à tout utilisateur authentifié disposant du rôle MenuOptions (une autorisation de personnel non administrateur) d'effectuer une injection aveugle basée sur le temps et d'exfiltrer toutes les données de la base de données, y compris les hachages de mot de passe de tous les utilisateurs. Cette vulnérabilité est corrigée dans la version 7.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.