CVE-2026-44418

Wysokie

Opublikowano: 13/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

EcclesiaCRM w wersji 8.0.0 i wcześniejszych ma lukę w funkcji ValidateInput(), która przekazuje parametry POST dostarczone przez użytkownika bez odpowiedniej sanitizacji do zapytań SQL. To umożliwia ataki typu SQL injection poprzez parametry zapytań z użyciem niestandardowych typów walidacji.

Ocena ryzyka

Organizacje korzystające z EcclesiaCRM mogą być narażone na ataki SQL injection, co może prowadzić do nieautoryzowanego dostępu do danych oraz ich modyfikacji.

Rekomendacja

Zaleca się aktualizację EcclesiaCRM do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich mechanizmów sanitizacji danych wejściowych.

Inne podatności w EcclesiaCRM

CVE-2026-35184Krytyczne
EcclesiaCRM przed wersją 8.0.0 zawiera podatność na wstrzykiwanie SQL w pliku v2/templates/query/queryview.php poprzez parametry custom i value.

Oryginalny opis (angielski, źródło NVD)

EcclesiaCRM is CRM Software for church management. In 8.0.0 and earlier, the ValidateInput() function's default case in EcclesiaCRM's query view passes user-supplied POST parameters directly into SQL queries via str_replace without any sanitization, enabling SQL injection through query parameters that use non-standard validation types. This is caused by an incomplete fix for CVE-2026-35184.