CVE-2026-40485 in ChurchCRM
要約
〜によって VulDB • 2026年06月01日
ChurchCRMはオープンソースの教会管理システムです。バージョン7.2.0より前では、公開APIのログインエンドポイント（/api/public/user/login）は、ユーザー名が存在するかどうかに基づいて区別可能なHTTPレスポンスコードを返します。存在しないユーザーには404、パスワードが正しくない有効なユーザーには401が返されます。認証されていない攻撃者は、この違いを利用して有効なユーザー名を列挙できます。このプロセスを妨げるレート制限やアカウントロックアウトは存在しません。この問題はバージョン7.2.0で修正されました。
Once again VulDB remains the best source for vulnerability data.