CVE-2026-40484: ChurchCRM: execução remota de código pela restauração de backup sem filtro de arquivos

Visão geral

O ChurchCRM é um sistema de gestão de igrejas de código aberto. Segundo a descrição do registro, a função de restauração de backup do banco de dados copia arquivos do diretório Images/ de um arquivo enviado para a raiz de documentos acessível pela web, sem filtragem por extensão. O aviso de segurança do projeto no GitHub acompanha esta falha, e o registro cita um commit de correção e um pull request.

Impacto

O registro afirma que um administrador autenticado pode provocar execução remota de código com o usuário do servidor web por meio de um arquivo de backup elaborado.
O endpoint de restauração não valida token CSRF, por isso o registro indica que a exploração também pode ocorrer por falsificação de requisição entre sites direcionada a um administrador autenticado.
O vetor CVSS 3.1 informado pelo CNA é AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, com pontuação base 9.1 e severidade crítica.
O registro associa a falha ao CWE-269, Gerenciamento Impróprio de Privilégios.

Produtos e versões afetadas

A descrição indica que as versões do ChurchCRM anteriores à 7.2.0 são afetadas. A lista estruturada de afetados no registro está vazia, portanto qualquer faixa de versões mais detalhada é desconhecida. A descrição informa que a falha está corrigida na versão 7.2.0.

Status de exploração

O registro mostra que este CVE não está listado no catálogo de vulnerabilidades exploradas conhecidas da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS informada é 0.00987, com percentil 0.61436, o que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Atualize o ChurchCRM para a versão 7.2.0 ou superior, que a descrição identifica como a versão corrigida.
Restrinja contas de administrador a equipe de confiança e revise os acessos administrativos existentes, já que o registro exige um administrador autenticado.
Evite restaurar arquivos de backup de fontes não confiáveis ou não verificadas.
Como inferência do mecanismo descrito, verifique se o servidor web não executa arquivos PHP nos diretórios de upload e de imagens até a aplicação da atualização.

Orientação para detecção

Revise o diretório Images/ e a raiz de documentos web em busca de arquivos PHP ou outros executáveis inesperados, especialmente os com data de modificação recente.
Analise os logs da aplicação e do servidor web em torno das operações de restauração de backup, buscando restaurações inesperadas ou requisições a arquivos desconhecidos.
Monitore ações administrativas inesperadas que não tenham sido iniciadas pelo usuário, o que pode indicar falsificação de requisição entre sites.

Limitações das informações disponíveis

O campo de título do registro está vazio e as listas estruturadas de versões afetadas e corrigidas também, por isso esta análise se baseia no texto da descrição.
O registro não traz detalhes de exploração, prova de conceito nem soluções paliativas específicas de fornecedor, e nenhum deles é incluído aqui.
O vetor CVSS do registro define privilégios exigidos como Altos, enquanto a descrição trata da exploração por um administrador autenticado; ambos são reportados como constam no registro.
O registro não indica se o recurso de restauração de backup existe em forks ou implantações de outras origens.

Perguntas frequentes

Quais versões do ChurchCRM são afetadas por esta falha?

A descrição indica que as versões anteriores à 7.2.0 são afetadas. A lista estruturada de versões afetadas no registro está vazia, então faixas mais detalhadas são desconhecidas.

Esta vulnerabilidade é conhecidamente explorada ativamente?

O registro mostra que ela não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Qual ação é recomendada?

Atualize para o ChurchCRM 7.2.0 ou superior, restrinja contas de administrador, evite restaurar backups não confiáveis e verifique o Images/ e a raiz web em busca de arquivos PHP inesperados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.