CVE-2026-40582
Açıklama
ChurchCRM açık kaynaklı bir kilise yönetim sistemidir. 7.2.0 öncesindeki sürümlerde, /api/public/user/login uç noktası, kullanıcının API anahtarını döndürmeden önce yalnızca kullanıcı adını ve parolayı doğrulamakta; böylece hesap kilitleme ve iki faktörlü kimlik doğrulama kontrollerini zorunlu kılan normal kimlik doğrulama akışını atlamaktadır. Bir kullanıcının parolasını bilen bir saldırgan, hesap kilitli olsa veya 2FA etkinleştirilmiş olsa bile API erişimi elde edebilir ve bu sayede söz konusu kullanıcının yetkileriyle tüm korumalı API uç noktalarına doğrudan erişim sağlayabilir. Bu sorun 7.2.0 sürümünde düzeltilmiştir. Not: Bu sorunun kapatılmış olan GHSA-472m-p3gf-46xp numaralı bir kopyası bulunmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ChurchCRM CRM | < 7.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.