PT-2026-33525 · Churchcrm · Churchcrm

Publicado 2026-04-17 · Atualizado 2026-04-18 · CVE-2026-40480

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions ChurchCRM versões anteriores a 7.2.0

Description Existe um problema na camada de API onde o endpoint 'GET /api/person/{personId}' retorna registros de pessoas sem realizar verificações de autorização em nível de objeto. Embora a página legada PersonView.php aplique restrições por meio da função canEditPerson(), a API omite essa verificação. Isso permite que qualquer usuário autenticado com privilégios EditSelf enumere e leia registros de outros membros, levando à exposição de informações de identificação pessoal (PII) sensíveis, como nomes, endereços, números de telefone e endereços de e-mail.

Recommendations Atualizar para a versão 7.2.0.

Exploit

Correção

IDOR

Missing Authorization

Enumeração de Fraquezas

CWE-639

CWE-862

Identificadores relacionados

CVE-2026-40480

Produtos afetados

Churchcrm

Referências · 7

• 🔥 https://github.com/ChurchCRM/CRM/security/advisories/GHSA-5w59-32c8-933v · Exploit
• https://github.com/ChurchCRM/CRM/pull/8616 · Nota
• https://github.com/ChurchCRM/CRM/issues/8617 · Nota
• https://github.com/ChurchCRM/CRM/commit/28ea7a2965fc2fe30e150fadb1ae38a97f8225c2 · Nota
• https://twitter.com/VulmonFeeds/status/2045324603380105380 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2045467364578263364 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40480 · Nota de Segurança