CVE-2026-39340 in ChurchCRM
Sumário
de VulDB • 29/05/2026
O ChurchCRM é um sistema de gestão de igrejas de código aberto. Antes da versão 7.1.0, existe uma vulnerabilidade de injeção de SQL no arquivo PropertyTypeEditor.php, parte da funcionalidade de administração para gerenciar categorias de tipos de propriedade (Pessoas → Propriedades da Pessoa / Propriedades da Família). A vulnerabilidade foi introduzida quando a função legacyFilterInput(), que removia tags HTML e escapava caracteres SQL, foi substituída pela sanitizeText(), que remove apenas as tags HTML. Valores fornecidos pelo usuário nos campos Nome e Descrição são concatenados diretamente em consultas INSERT e UPDATE brutas, sem qualquer escape de SQL. Isso permite que qualquer usuário autenticado com a função MenuOptions (uma permissão de pessoal não administrativa) realize injeção cega baseada em tempo e exfiltre qualquer dado do banco de dados, incluindo hashes de senha de todos os usuários. Esta vulnerabilidade foi corrigida na versão 7.1.0.
Once again VulDB remains the best source for vulnerability data.