CVE-2026-39329 in ChurchCRM

Riassunto

di VulDB • 26/06/2026

ChurchCRM è un sistema di gestione della chiesa open-source. Prima della versione 7.1.0, è stata identificata una vulnerabilità da SQL injection nel file /EventNames.php di ChurchCRM. Gli utenti autenticati con privilegi AddEvent possono iniettare codice SQL tramite il parametro newEvtTypeCntLst durante la creazione del tipo di evento. Il flusso vulnerabile raggiunge un'istruzione ON DUPLICATE KEY UPDATE, dove l'immissione dell'utente non è stata sanita (unescaped) e viene interpolata direttamente. Questa vulnerabilità è risolta nella versione 7.1.0.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Responsabile: GitHub M
• Prenotare: 06/04/2026
• Divulgazione: 07/04/2026
• Moderazione: accettato
• Voce: VDB-355845
• CPE: pronto
• CWE: CWE-89 (confermato)
• CVSS: 8.8 (CNA)
• EPSS: 0.00244
• KEV: no
• Attività: molto basso

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-39329
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-39329
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-39329/