CVE-2026-39340
Təsvir
ChurchCRM açıq mənbəli kilsə idarəetmə sistemidir. 7.1.0 versiyasından əvvəl, mülkiyyət növü kateqoriyalarının idarə edilməsi üçün inzibatçılıq funksionallığının bir hissəsi olan PropertyTypeEditor.php faylında SQL inyeksiyası zəifliyi mövcuddur (People → Person Properties / Family Properties). Zəiflik həm HTML-i təmizləyən, həm də SQL simvollarını ekranlayan legacyFilterInput() funksiyasının yalnız HTML-i təmizləyən sanitizeText() funksiyası ilə əvəz edilməsi nəticəsində yaranmışdır. Name və Description sahələrinə istifadəçi tərəfindən daxil edilmiş dəyərlər heç bir SQL ekranlaması olmadan birbaşa xam INSERT və UPDATE sorğularına birləşdirilir. Bu, MenuOptions roluna malik (administrator olmayan heyət icazəsi) hər hansı autentifikasiya olunmuş istifadəçiyə zaman əsaslı kor inyeksiya (time-based blind injection) həyata keçirməyə və bütün istifadəçilərin parol heşləri də daxil olmaqla verilənlər bazasından hər hansı məlumatı sızdırmağa imkan verir. Bu zəiflik 7.1.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- churchcrm churchcrm7.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| churchcrm churchcrm | v < 7.1.0 | 7.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.