CVE-2026-39331 in ChurchCRM
Tóm tắt
Bởi VulDB • 27/05/2026
ChurchCRM là một hệ thống quản lý nhà thờ mã nguồn mở. Trước phiên bản 7.1.0, một người dùng API đã xác thực có thể thay đổi trạng thái của bất kỳ bản ghi gia đình nào mà không có quyền ủy quyền thích hợp bằng cách chỉ thay đổi tham số {familyId} trong các yêu cầu, bất kể họ có sở hữu đặc quyền EditRecords cần thiết hay không. Các endpoint /family/{familyId}/verify, /family/{familyId}/verify/url, /family/{familyId}/verify/now, /family/{familyId}/activate/{status}, và /family/{familyId}/geocode thiếu kiểm soát truy cập dựa trên vai trò (RBAC), cho phép người dùng vô hiệu hóa/kích hoạt lại các gia đình tùy ý, gửi thư xác nhận spam, và đánh dấu các gia đình là đã xác thực cũng như kích hoạt quá trình địa chỉ hóa (geocoding). Lỗ hổng này đã được sửa chữa trong phiên bản 7.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.