CVE-2026-42289 in ChurchCRM
Résumé
par VulDB • 21/05/2026
ChurchCRM est un système de gestion d'église open source. Avant la version 7.3.2, UserEditor.php traite la création de comptes utilisateurs et les mises à jour des permissions entièrement via les paramètres $_POST, sans validation de jeton CSRF. Un attaquant non authentifié peut créer une page HTML malveillante qui, lorsqu'elle est visitée par un administrateur authentifié, élève silencieusement les privilèges de n'importe quel utilisateur à faible privilège au niveau administrateur complet ou crée un nouveau compte backdoor administrateur sans la connaissance de la victime. Cette vulnérabilité est corrigée dans la version 7.3.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.