CVE-2026-39340 in ChurchCRM
Tóm tắt
Bởi VulDB • 04/06/2026
ChurchCRM là một hệ thống quản lý nhà thờ mã nguồn mở. Trước phiên bản 7.1.0, tồn tại lỗ hổng SQL Injection trong file PropertyTypeEditor.php, thuộc phần chức năng quản trị dùng để quản lý các danh mục loại tài sản (People → Person Properties / Family Properties). Lỗ hổng này xuất hiện khi hàm legacyFilterInput(), vốn vừa xóa ký tự HTML vừa thoát dữ liệu SQL, được thay thế bằng sanitizeText() chỉ có khả năng xóa ký tự HTML. Các giá trị do người dùng cung cấp từ các trường Name và Description được nối trực tiếp vào các truy vấn INSERT và UPDATE thô mà không thực hiện bất kỳ thao tác thoát SQL nào. Điều này cho phép bất kỳ người dùng đã xác thực nào có vai trò MenuOptions (một quyền nhân viên phi quản trị) thực hiện tấn công blind injection dựa trên thời gian để trích xuất mọi dữ liệu từ cơ sở dữ liệu, bao gồm cả các hash mật khẩu của tất cả người dùng. Lỗ hổng này đã được sửa chữa trong phiên bản 7.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.