PT-2026-30939 · Churchcrm · Churchcrm

Mateusz-Sa · Publicado 2026-04-07 · Atualizado 2026-04-07 · CVE-2026-35572

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.0

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions ChurchCRM versões anteriores a 6.5.3

Description ChurchCRM, um sistema de gerenciamento de igrejas de código aberto, é suscetível a falsificação de solicitação do lado do servidor (SSRF). Ao fornecer uma URL especialmente criada no cabeçalho da solicitação Referer, um invasor pode iniciar solicitações HTTP/HTTPS para hosts arbitrários. O servidor então faz uma solicitação de saída para um domínio controlado pelo invasor, conforme confirmado pelo teste de varredura de ativos de saída (OAST).

Recommendations Atualize para a versão 6.5.3 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-35572

Produtos afetados

Churchcrm

Referências · 3

• 🔥 https://github.com/ChurchCRM/CRM/security/advisories/GHSA-44x3-28jv-mrwq · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-35572 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041569961664245905 · Publicação no Twitter