CVE-2026-40484
CriticalSummary
ChurchCRM to system zarządzania kościołem typu open-source. W wersjach przed 7.2.0 funkcjonalność przywracania kopii zapasowej bazy danych nie filtruje rozszerzeń plików, co pozwala na przesłanie złośliwego archiwum zawierającego skrypt PHP, który może być wykonany przez użytkownika serwera webowego.
Risk Assessment
Zagrożenie polega na możliwości zdalnego wykonania kodu przez uwierzytelnionego administratora, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji. Dodatkowo brak walidacji tokenów CSRF umożliwia ataki typu cross-site request forgery.
Recommendation
Zaleca się aktualizację do wersji 7.2.0 lub nowszej, aby usunąć tę podatność. Należy również wdrożyć dodatkowe środki zabezpieczające, takie jak walidacja tokenów CSRF.
Original NVD description (English source)
ChurchCRM is an open-source church management system. In versions prior to 7.2.0, the database backup restore functionality extracts uploaded archive contents and copies files from the Images/ directory into the web-accessible document root using recursiveCopyDirectory(), which performs no file extension filtering. An authenticated administrator can upload a crafted backup archive containing a PHP webshell inside the Images/ directory, which is then written to a publicly accessible path and executable via HTTP requests, resulting in remote code execution as the web server user. The restore endpoint also lacks CSRF token validation, enabling exploitation through cross-site request forgery targeting an authenticated administrator. This issue has been fixed in version 7.2.0.