CVE-2026-39331 in ChurchCRM
요약
\~에 의해 VulDB • 2026. 05. 27.
ChurchCRM는 오픈소스 교회 관리 시스템입니다. 7.1.0 버전 이전에서는 인증된 API 사용자가 EditRecords 권한을 보유하고 있는지 여부와 관계없이 요청에서 {familyId} 파라미터를 단순히 변경함으로써 모든 가족 기록의 상태를 적법한 권한 없이 수정할 수 있습니다. /family/{familyId}/verify, /family/{familyId}/verify/url, /family/{familyId}/verify/now, /family/{familyId}/activate/{status}, 그리고 /family/{familyId}/geocode 엔드포인트는 역할 기반 접근 제어(RBAC)가 누락되어 있어, 사용자가 임의의 가족을 비활성화/활성화하거나 검증 이메일을 스팸으로 발송하며, 가족을 검증된 상태로 표시하고 지오코딩을 트리거할 수 있습니다. 이 취약점은 7.1.0 버전에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.