PT-2026-33527 · Churchcrm · Churchcrm

CVE-2026-40582 · Publicado 2026-04-17 · Atualizado 2026-05-13

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.1

Crítica

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions ChurchCRM versões anteriores a 7.2.0

Description O endpoint '/api/public/user/login' valida apenas o nome de usuário e a senha antes de retornar a chave de API do usuário. Esse processo ignora o fluxo de autenticação padrão, que inclui verificações de bloqueio de conta e autenticação de dois fatores (2FA). Um invasor que conheça a senha de um usuário pode obter acesso à API e acessar todos os endpoints de API protegidos com os privilégios desse usuário, mesmo que a conta esteja bloqueada ou que o 2FA esteja habilitado.

Recommendations Atualizar para a versão 7.2.0.

Exploit

Correção

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-305

CWE-288

Identificadores relacionados

CVE-2026-40582

GHSA-8CWR-X83M-MH9X

Produtos afetados

Churchcrm

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/40xxx/CVE-2026-40582.json · Exploit
• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-8cwr-x83m-mh9x · Nota
• https://github.com/ChurchCRM/CRM/pull/8607 · Nota
• https://github.com/ChurchCRM/CRM/commit/214694eb83778e1f5e52b3dfa2a99d0e965c1850 · Nota
• https://t.me/CVEtracker/53584 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-40582 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40582 · Nota de Segurança
• https://twitter.com/0dayPublishing/status/2045282344781685092 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2045467362409824337 · Publicação no Twitter