CVE-2026-39337

ChurchCRM: pre-auth RCE przez wstrzyknięcie kodu PHP w kreatorze instalacji

CVSS 10.0v3.1pub. 2026-04-07upd. 2026-04-10

Podatność w systemie ChurchCRM (wersje przed 7.1.0) umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu PHP podczas procesu instalacji za pomocą kreatora konfiguracji. Luka ma maksymalną ocenę CVSS 10.0 i może prowadzić do całkowitego przejęcia serwera.

▸ Pokaż oryginał (EN)

ChurchCRM is an open-source church management system. Prior to 7.1.0, critical pre-authentication remote code execution vulnerability in ChurchCRM's setup wizard allows unauthenticated attackers to inject arbitrary PHP code during the initial installation process, leading to complete server compromise. The "$dbPassword" variable is not sanitized. This vulnerability exists due to an incomplete fix for CVE-2025-62521. This vulnerability is fixed in 7.1.0.

🤖 Analiza AI

Jak działa

Kreator instalacji ChurchCRM nie sanityzuje zmiennej `$dbPassword`, co pozwala atakującemu na wstrzyknięcie dowolnego kodu PHP bez konieczności uwierzytelnienia. Podatność jest efektem niekompletnej poprawki wcześniejszej luki CVE-2025-62521, która nie objęła wszystkich niebezpiecznych punktów wejścia. Payload przekazany przez atakującego może zostać wykonany bezpośrednio przez serwer w trakcie procesu konfiguracji aplikacji.

Skutki

Atakujący bez żadnych uprawnień może wykonać dowolny kod na serwerze i uzyskać pełną kontrolę nad systemem, w tym dostęp do danych wszystkich użytkowników, baz danych oraz możliwość instalacji backdoorów.

Mitygacja

Należy natychmiast zaktualizować ChurchCRM do wersji 7.1.0, w której podatność została naprawiona. Jeśli aktualizacja nie jest możliwa — należy zablokować dostęp sieciowy do kreatora instalacji (setup wizard) do czasu wdrożenia patcha.