CVE-2026-44548— ChurchCRM 跨站请求伪造漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-44548の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
ChurchCRM: CSRF via legacy GET-delete pages (FundRaiserDelete.php, PropertyTypeDelete.php, NoteDelete.php)
ソース: NVD (National Vulnerability Database)
脆弱性説明
ChurchCRM is an open-source church management system. Prior to 7.3.2, top-level cross-site GET navigation from an attacker-controlled page to FundRaiserDelete.php, PropertyTypeDelete.php, or NoteDelete.php causes a logged-in ChurchCRM user with the relevant role to silently delete records, including cascaded property and record-to-property assignments. This vulnerability is fixed in 7.3.2.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
跨站请求伪造(CSRF)
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
ChurchCRM 跨站请求伪造漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
ChurchCRM是ChurchCRM开源的一个为教会打造的开源 CRM 系统。 ChurchCRM 7.3.2之前版本存在跨站请求伪造漏洞，该漏洞源于顶层跨站GET导航，可能导致登录用户删除记录。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
II. CVE-2026-44548の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-44548のインテリジェンス情報
请登录查看更多情报信息。
- https://github.com/ChurchCRM/CRM/security/advisories/GHSA-jx5r-p82p-2p8mx_refsource_CONFIRM
- https://nvd.nist.gov/vuln/detail/CVE-2026-44548
Same Patch Batch · ChurchCRM · 2026-05-12 · 4 CVEs total
| CVE-2026-42288 | 10.0 CRITICAL | ChurchCRM: Incomplete fix for CVE-2026-39337: Unauthenticated RCE in Setup Wizard via unsa |
| CVE-2026-44547 | 9.6 CRITICAL | ChurchCRM: Incomplete fix for CVE-2026-40582: public API login still bypasses 2FA and acco |
| CVE-2026-42289 | 8.8 HIGH | ChurchCRM: Cross-Site Request Forgery (CSRF) Leading to Admin Privilege Escalation |
IV. 関連脆弱性
同じ製品: CRM
- CVE-2026-44547
ChurchCRM: Incomplete fix for CVE-2026-40582: public API log - CVE-2026-42288
ChurchCRM: Incomplete fix for CVE-2026-39337: Unauthenticate - CVE-2026-42289
ChurchCRM: Cross-Site Request Forgery (CSRF) Leading to Admi - CVE-2026-40593
ChurchCRM: Stored XSS in UserEditor.php via Login Name Field - CVE-2026-40581
ChurchCRM: Cross-Site Request Forgery (CSRF) in SelectDelete
同じベンダー: ChurchCRM
- CVE-2026-44547
ChurchCRM: Incomplete fix for CVE-2026-40582: public API log - CVE-2026-42288
ChurchCRM: Incomplete fix for CVE-2026-39337: Unauthenticate - CVE-2026-42289
ChurchCRM: Cross-Site Request Forgery (CSRF) Leading to Admi - CVE-2026-40593
ChurchCRM: Stored XSS in UserEditor.php via Login Name Field - CVE-2026-40581
ChurchCRM: Cross-Site Request Forgery (CSRF) in SelectDelete
同じ弱点: CWE-352
- CVE-2018-25334
Zechat 1.5 Cross-Site Request Forgery (CSRF) via hashtag par - CVE-2018-25337
Joomla JoomOCShop 1.0 Cross-Site Request Forgery - CVE-2018-25336
Joomla jCart for OpenCart 2.3.0.2 Cross-Site Request Forgery - CVE-2018-25327
Joomla! Component Js Jobs 1.2.0 Cross-Site Request Forgery - CVE-2018-25321
TP-Link TL-WR720N All Versions CSRF via Administrative Inter
V. CVE-2026-44548へのコメント
まだコメントはありません