CVE-2026-40480
Açıklama
ChurchCRM açık kaynaklı bir kilise yönetim sistemidir. 7.2.0 öncesindeki sürümlerde, GET /api/person/{personId} uç noktası, nesne düzeyinde yetkilendirme kontrollerini gerçekleştirmeden kişi kayıtlarını yükler ve döndürür. Eski PersonView.php sayfası canEditPerson() kısıtlamalarını uygulasada, API katmanı bu kontrolü atlar. Yalnızca EditSelf ayrıcalıklarına sahip herhangi bir kimliği doğrulanmış kullanıcı, diğer üyelerin kayıtlarını numaralandırabilir ve okuyabilir; bu durum isimler, adresler, telefon numaraları ve e-posta adresleri dahil olmak üzere hassas PII verilerini açığa çıkarır. Bu sorun 7.2.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ChurchCRM CRM | < 7.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.