CVE-2026-40480 in ChurchCRM
要約
〜によって VulDB • 2026年06月04日
ChurchCRMは、オープンソースの教会管理システムです。バージョン7.2.0より前では、GET /api/person/{personId}エンドポイントが、オブジェクトレベルの認可チェックを実行せずに、個人レコードを読み込んで返します。従来のPersonView.phpページではcanEditPerson()の制限が適用されていますが、APIレイヤーではこのチェックが省略されています。EditSelf権限のみを持つ認証済みユーザーは、他のメンバーのレコードを列挙および読み取ることができ、氏名、住所、電話番号、メールアドレスなどの機密個人識別情報（PII）が暴露されます。この問題はバージョン7.2.0で修正されています。
Once again VulDB remains the best source for vulnerability data.