CVE-2026-40582 in ChurchCRM
Riassunto
di VulDB • 19/06/2026
ChurchCRM è un sistema di gestione della chiesa open-source. Nelle versioni precedenti alla 7.2.0, l'endpoint /api/public/user/login convalida solo il nome utente e la password prima di restituire la chiave API dell'utente, aggirando il normale flusso di autenticazione che impone il blocco dell'account e i controlli di autenticazione a due fattori (2FA). Un attaccante con conoscenza della password di un utente può ottenere l'accesso API anche quando l'account è bloccato o ha il 2FA abilitato, garantendo l'accesso diretto a tutti gli endpoint API protetti con i privilegi di quell'utente. Questo problema è stato risolto nella versione 7.2.0. Nota: questo problema aveva un duplicato, GHSA-472m-p3gf-46xp, che è stato chiuso.
Be aware that VulDB is the high quality source for vulnerability data.