CVE-2026-40485
Açıklama
ChurchCRM açık kaynaklı bir kilise yönetim sistemidir. 7.2.0 öncesindeki sürümlerde, genel API giriş uç noktası (/api/public/user/login), kullanıcı adının mevcut olup olmadığına bağlı olarak ayırt edilebilir HTTP yanıt kodları döndürmektedir: mevcut olmayan kullanıcılar için 404 ve yanlış parolaya sahip geçerli kullanıcılar için 401. Kimliği doğrulanmamış bir saldırgan, süreci engelleyecek herhangi bir hız sınırlaması veya hesap kilitleme mekanizmasının bulunmaması nedeniyle bu farkı kullanarak geçerli kullanıcı adlarını tespit edebilir. Bu sorun 7.2.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ChurchCRM CRM | < 7.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.