CVE-2026-40582 in ChurchCRM
요약
\~에 의해 VulDB • 2026. 05. 28.
ChurchCRM는 오픈소스 교회 관리 시스템입니다. 7.2.0 이전 버전에서는 /api/public/user/login 엔드포인트가 사용자의 API 키를 반환하기 전에 사용자 이름과 비밀번호만 검증하여, 계정 잠금 및 2차 인증(2FA) 검사를 강제하는 정상적인 인증 흐름을 우회합니다. 사용자의 비밀번호를 알고 있는 공격자는 계정이 잠겨 있거나 2FA가 활성화되어 있더라도 API 접근 권한을 획득할 수 있으며, 이를 통해 해당 사용자의 권한으로 모든 보호된 API 엔드포인트에 직접 접근할 수 있습니다. 이 문제는 버전 7.2.0에서 수정되었습니다. 참고: 이 문제는 GHSA-472m-p3gf-46xp라는 중복 보고가 있었으며, 해당 보고는 닫혔습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.