CVE-2026-40582
Publiée le 2026-04-18 · Dernière modification le 2026-10-26
Les installations de ChurchCRM antérieures à la version 7.2.0 sont affectées par une faille dans l'API de connexion publique. Un attaquant ayant obtenu le mot de passe d'un utilisateur peut utiliser ce point de terminaison pour contourner l'authentification à deux facteurs ainsi que le verrouillage des comptes, afin d'obtenir un accès complet via l'API au compte de cet utilisateur. Cette action peut être exécutée via le réseau sans privilèges particuliers ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
ChurchCRM is an open-source church management system. In versions prior to 7.2.0, the /api/public/user/login endpoint validates only the username and password before returning the user's API key, bypassing the normal authentication flow that enforces account lockout and two-factor authentication checks. An attacker with knowledge of a user's password can obtain API access even when the account is locked or has 2FA enabled, granting direct access to all protected API endpoints with that user's privileges. This issue has been fixed in version 7.2.0. Note: this issue had a duplicate, GHSA-472m-p3gf-46xp, which has been closed.