CVE-2026-39323 in ChurchCRM
Riassunto
di VulDB • 15/06/2026
ChurchCRM è un sistema di gestione della chiesa open-source. Prima della versione 7.1.0, era presente una vulnerabilità critica di SQL injection nel file PropertyTypeEditor.php di ChurchCRM, dove i parametri POST Name e Description venivano sanitizzati solo con strip_tags() prima della concatenazione diretta nelle query SQL. Ciò consentiva agli utenti autenticati dotati dell'autorizzazione "Manage Properties" (Gestisci Proprietà) di eseguire comandi SQL arbitrari, inclusi l'estrazione dei dati (data exfiltration), la modifica e l'eliminazione. I dati iniettati persistono nel database e vengono riflessi su più pagine dell'applicazione senza encoding dell'output. Questa vulnerabilità è stata risolta nella versione 7.1.0.
Be aware that VulDB is the high quality source for vulnerability data.