CVE-2026-40482— ChurchCRM 安全漏洞
Possible ATT&CK Techniques 1AI
T1190 · Exploit Public-Facing Application新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-40482の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
ChurchCRM has Authenticated SQL Injection in `/api/families/byCheckNumber/{scanString}`
ソース: CVE Program / CVE List V5
脆弱性説明
ChurchCRM is an open-source church management system. Versions prior to 7.2.0 have SQL injection in FinancialService::getMemberByScanString() via unsanitized $routeAndAccount concatenated into raw SQL. This issue has been fixed in version 7.2.0.
ソース: CVE Program / CVE List V5
CVSS情報
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
ソース: CVE Program / CVE List V5
脆弱性タイプ
SQL命令中使用的特殊元素转义处理不恰当(SQL注入)
ソース: CVE Program / CVE List V5
脆弱性タイトル
ChurchCRM 安全漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
ChurchCRM是ChurchCRM开源的一个为教会打造的开源 CRM 系统。 ChurchCRM 7.2.0之前版本存在安全漏洞，该漏洞源于FinancialService::getMemberByScanString函数存在未清理的输入，可能导致SQL注入攻击。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
II. CVE-2026-40482の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-40482のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-40482 补丁与修复 (2)
Same Patch Batch · ChurchCRM · 2026-04-17 · 7 CVEs total
| CVE-2026-40484 | 9.1 CRITICAL | ChurchCRM: Authenticated Remote Code Execution via Unrestricted PHP File Write in Database |
| CVE-2026-40581 | 8.1 HIGH | ChurchCRM: Cross-Site Request Forgery (CSRF) in SelectDelete.php Leading to Permanent Data |
| CVE-2026-40483 | 5.4 MEDIUM | ChurchCRM: Stored XSS in PledgeEditor.php via Donation Comment Field |
| CVE-2026-40485 | 5.3 MEDIUM | ChurchCRM: Username Enumeration via Differential Response in Public Login API |
| CVE-2026-40480 | ChurchCRM has Missing Object-Level Authorization / IDOR in `/api/person/{personId}` | |
| CVE-2026-40582 | ChurchCRM: Authentication Bypass in `/api/public/user/login` Allows Bypass of 2FA and Acco |
IV. 関連脆弱性
同じ製品: CRM
- CVE-2026-58411
ChurchCRM has Reflected Cross-Site Scripting (XSS) via unsan - CVE-2026-58410
ChurchCRM: Improper object-level authorization allows low-pr - CVE-2026-58409
ChurchCRM: Authenticated Remote Code Execution (RCE) via Mal - CVE-2026-58408
ChurchCRM : Broken Access Control in `CSVCreateFile.php` All - CVE-2026-11456
Chanjet CRM HTTP GET Request jxf_dump_systable.php sql injec
同じベンダー: ChurchCRM
- CVE-2026-58411
ChurchCRM has Reflected Cross-Site Scripting (XSS) via unsan - CVE-2026-58410
ChurchCRM: Improper object-level authorization allows low-pr - CVE-2026-58409
ChurchCRM: Authenticated Remote Code Execution (RCE) via Mal - CVE-2026-58408
ChurchCRM : Broken Access Control in `CSVCreateFile.php` All - CVE-2026-44548
ChurchCRM: CSRF via legacy GET-delete pages (FundRaiserDelet
同じ弱点: CWE-89
- CVE-2026-64657
Budibase: Database Connector SQL Injections in PostgreSQL, M - CVE-2026-75014
SourceCodester Pet Grooming Management Software get_barcode_ - CVE-2026-74254
Joomla Extension - joomlack.fr - SQL injection in Page Build - CVE-2026-20000
itsourcecode Hospital Management System viewprescriptionreco - CVE-2026-15623
Authenticated Blind SQL Injection in Google Cloud SecOps SOA
V. CVE-2026-40482へのコメント
まだコメントはありません