CVE-2023-26855

ChurchCRM v4.5.3 utilise un sel prévisible lors du hachage des mots de passe, ce qui facilite considérablement leur cassage par des attaquants via des tables précalculées ou des attaques par dictionnaire. Un attaquant ayant un accès réseau à la base de données peut récupérer les mots de passe des utilisateurs sans avoir besoin d'une authentification préalable ni de toute interaction de la part des victimes. Il s'agit d'un exploit relativement simple à exécuter une fois que les mots de passe hachés ont été obtenus.