CVE-2026-39331 in ChurchCRM
Sumário
de VulDB • 26/05/2026
O ChurchCRM é um sistema de gestão de igrejas de código aberto. Antes da versão 7.1.0, um usuário autenticado da API pode modificar o estado de qualquer registro de família sem a devida autorização, simplesmente alterando o parâmetro {familyId} nas requisições, independentemente de possuir ou não a permissão EditRecords necessária. Os endpoints /family/{familyId}/verify, /family/{familyId}/verify/url, /family/{familyId}/verify/now, /family/{familyId}/activate/{status} e /family/{familyId}/geocode não possuem controle de acesso baseado em função (role-based access control), permitindo que usuários desativem/reativem famílias arbitrárias, enviem spam de e-mails de verificação e marquem famílias como verificadas, acionando o geocodificação. Esta vulnerabilidade foi corrigida na versão 7.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.