CVE-2026-44548
Publiée le 2026-05-12 · Dernière modification le 2026-10-26
Les installations de ChurchCRM antérieures à la version 7.3.2 sont vulnérables à une attaque de type CSRF (cross-site request forgery). Un attaquant peut inciter un administrateur ou un utilisateur autorisé connecté à cliquer sur un lien malveillant, ce qui déclenche silencieusement la suppression d'enregistrements, de types de propriétés ou de notes. Cette attaque est facile à exécuter via un réseau, mais nécessite que la victime soit authentifiée et interagisse avec une page contrôlée par l'attaquant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
ChurchCRM is an open-source church management system. Prior to 7.3.2, top-level cross-site GET navigation from an attacker-controlled page to FundRaiserDelete.php, PropertyTypeDelete.php, or NoteDelete.php causes a logged-in ChurchCRM user with the relevant role to silently delete records, including cascaded property and record-to-property assignments. This vulnerability is fixed in 7.3.2.