PT-2026-33542 · Churchcrm · Churchcrm

CVE-2026-40581 · Publicado 2026-04-17 · Atualizado 2026-04-18

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions ChurchCRM versões anteriores a 7.2.0

Description O endpoint de exclusão de registros de família 'SelectDelete.php' realiza a exclusão permanente e irreversível de registros de família e todos os dados associados, incluindo notas, promessas, pessoas e dados de propriedade. Este processo é acionado por meio de uma requisição GET simples e carece de validação de token Cross-Site Request Forgery (CSRF). Um ataque CSRF ocorre quando um site malicioso faz com que o navegador do usuário execute uma ação indesejada em um site diferente onde o usuário está autenticado. Um invasor pode criar uma página maliciosa que, ao ser visitada por um administrador autenticado, aciona silenciosamente a exclusão de registros específicos sem a interação do usuário.

Recommendations Atualizar para a versão 7.2.0.

Exploit

Correção

CSRF

Missing Authorization

Enumeração de Fraquezas

CWE-352

CWE-862

Identificadores relacionados

CVE-2026-40581

GHSA-6QXV-XW9J-77PJ

Produtos afetados

Churchcrm

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/40xxx/CVE-2026-40581.json · Exploit
• https://github.com/ChurchCRM/CRM/pull/8613 · Nota
• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-6qxv-xw9j-77pj · Nota
• https://github.com/ChurchCRM/CRM/commit/39361628613af7682b813f3e62a412559616d674 · Nota
• https://osv.dev/vulnerability/CVE-2026-40581 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40581 · Nota de Segurança
• https://twitter.com/CVEnew/status/2045467347465425390 · Publicação no Twitter