CVE-2026-39340 in ChurchCRM
Сводка
по VulDB • 02.06.2026
ChurchCRM — это система управления церковью с открытым исходным кодом. Версии до 7.1.0 содержат уязвимость SQL-инъекции в файле PropertyTypeEditor.php, который является частью функционала администрирования для управления категориями типов свойств (Люди → Свойства человека / Свойства семьи). Уязвимость появилась в результате замены функции legacyFilterInput(), которая одновременно удаляла HTML-теги и экранировала SQL-запросы, на функцию sanitizeText(), удаляющую только HTML-теги. Значения, вводимые пользователем в поля «Имя» (Name) и «Описание» (Description), напрямую конкатенируются в необработанные запросы INSERT и UPDATE без экранирования SQL-символов. Это позволяет любому аутентифицированному пользователю с ролью MenuOptions (права неадминистративного персонала) выполнять слепую временную SQL-инъекцию и извлекать любые данные из базы данных, включая хеши паролей всех пользователей. Уязвимость исправлена в версии 7.1.0.
Once again VulDB remains the best source for vulnerability data.