CVE-2026-40582: Bypass de Autenticação no Endpoint de Login do ChurchCRM

Visão geral

O ChurchCRM é um sistema de gestão de igrejas de código aberto. Segundo o registro, baseado no aviso de segurança do GitHub, o endpoint público de login de API de usuários devolve a chave de API do usuário após validar apenas nome de usuário e senha. Esse caminho não aplica as verificações de bloqueio de conta e de autenticação de dois fatores que o fluxo normal de login impõe. A fraqueza é classificada como CWE-288, Bypass de Autenticação Usando Caminho ou Canal Alternativo. Segundo o registro, a correção está disponível na versão 7.2.0.

Impacto

O registro afirma que um atacante que conheça a senha de um usuário poderia obter acesso à API mesmo quando a conta está bloqueada ou com autenticação de dois fatores habilitada. A chave de API concederia acesso aos endpoints protegidos com os privilégios desse usuário. A pontuação base CVSS 4.0 no registro é 9.1 (crítica), com vetor indicando ataque pela rede, baixa complexidade, sem privilégios ou interação do usuário, e alto impacto na confidencialidade e integridade do sistema vulnerável.

Produtos e versões afetadas

• Produto: ChurchCRM (sistema de gestão de igrejas de código aberto).
• Afetado: versões anteriores à 7.2.0, conforme a descrição do registro.
• Corrigido: versão 7.2.0, conforme a descrição do registro.
• Os campos estruturados de afetados e correções do registro estão vazios, portanto a faixa de versões depende da descrição textual.

Status de exploração

O registro não lista este CVE no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,00682 (percentil 0,51229), que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

• Atualize o ChurchCRM para a versão 7.2.0 ou posterior, identificada no registro como a versão corrigida.
• Revise o aviso do GitHub referenciado e o commit de correção para confirmar a mudança no seu contexto.
• Até a correção, considere restringir o acesso ao endpoint público de login da API na camada de rede ou de proxy reverso, quando o ambiente permitir.
• Após a atualização, renove as chaves de API de contas que possam ter sido alvo de tentativas no endpoint de login, especialmente contas com eventos de bloqueio ou dois fatores.

Orientações de detecção

• Analise os logs do servidor web e da aplicação em busca de volumes incomuns de requisições ao caminho público de login da API.
• Procure recuperações bem-sucedidas de chaves de API de contas que estavam bloqueadas ou com dois fatores habilitado.
• Monitore atividade de API vinda de origens desconhecidas que suceda uma requisição de login ao endpoint público.

Limitações das informações disponíveis

O registro não fornece faixas estruturadas de versões afetadas, changelog específico da correção nem detalhes sobre disponibilidade de exploração. A duplicata GHSA-472m-p3gf-46xp é mencionada, mas seu conteúdo não foi fornecido. O vetor CVSS 4.0 inclui muitas métricas ambientais e de ameaça marcadas como não definidas, portanto a pontuação base é o único valor pontuado disponível. As datas de publicação e de EPSS do registro são as informadas e não foram verificadas de forma independente.

Perguntas frequentes

Qual é a versão corrigida do CVE-2026-40582?

Segundo o registro, a versão 7.2.0 do ChurchCRM corrige este problema. As versões anteriores à 7.2.0 são descritas como afetadas.

Há registro de exploração ativa desta vulnerabilidade?

O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

O que os administradores devem fazer primeiro?

Atualizar para o ChurchCRM 7.2.0 ou posterior, revisar o aviso referenciado e renovar as chaves de API de contas que possam ter sido alvo no endpoint de login.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.