CVE-2026-42288: Injeção de Código Pré-Autenticação no Assistente de Configuração do ChurchCRM

Visão geral

O ChurchCRM é um sistema de gestão de igrejas de código aberto. Segundo o aviso de segurança do GitHub, a correção da CVE-2026-39337 foi incompleta, e um problema de injeção de código sem autenticação prévia no assistente de configuração, ligado a uma entrada DB_PASSWORD sem sanitização, permaneceu explorável. A fraqueza é classificada como CWE-94 (Injeção de Código).

Impacto

O aviso descreve uma vulnerabilidade de execução remota de código sem autenticação prévia.
A pontuação CVSS 3.1 base atribuída pela CNA é 10.0 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade, e escopo alterado.
Inferência: um atacante com acesso de rede a um assistente de configuração exposto poderia, em tese, obter controle do servidor subjacente, por isso a exposição do assistente é o principal fator de risco.

Produtos e versões afetados

Produto: ChurchCRM, sistema de gestão de igrejas de código aberto.
A descrição indica que o produto é afetado antes da versão 7.3.2.
Os campos de versões afetadas e correções do registro estão vazios, portanto a faixa completa de versões além da descrição é desconhecida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Não há exploração confirmada no mundo real nas fontes consultadas. A probabilidade EPSS registrada é 0.01013 (percentil 0.62261), que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Atualize o ChurchCRM para a versão 7.3.2 ou posterior, conforme indicado no aviso.
Como a correção anterior foi incompleta, verifique após a atualização se o assistente de configuração deixou de ser acessível em sistemas de produção.
Restrinja o acesso de rede ao assistente de configuração e aos caminhos administrativos, e remova ou desative o instalador após a conclusão da configuração (inferência baseada em boas práticas gerais de endurecimento).
Mantenha as restrições de acesso no proxy reverso ou no firewall até que a atualização seja validada.

Orientações de detecção

Analise os logs de acesso do servidor web em busca de requisições inesperadas a caminhos de configuração ou instalação, especialmente de origens desconhecidas.
Monitore o host da aplicação em busca de processos filhos incomuns iniciados pela conta do servidor web.
Confirme se o assistente de configuração esteve acessível após a instalação; uma instalação concluída não deveria expô-lo.

Limitações das informações disponíveis

O registro não contém entradas de versões afetadas ou corrigidas; a versão corrigida vem da descrição e do aviso do GitHub.
O registro indica o status da fonte como Deferred, então os detalhes da NVD e do CVE Program podem mudar.
Os detalhes da correção da CVE-2026-39337 não constam no registro.
Esta análise não inclui prova de conceito nem detalhes técnicos de ataque.

Perguntas frequentes

Qual versão do ChurchCRM corrige o problema?

O registro indica que a vulnerabilidade está corrigida na versão 7.3.2, e a descrição afirma que versões anteriores à 7.3.2 são afetadas. Atualize para a 7.3.2 ou posterior.

Esta vulnerabilidade está sendo explorada no mundo real?

O catálogo KEV da CISA não a lista no registro, e não há exploração confirmada nas fontes consultadas. A probabilidade EPSS registrada é 0.01013.

Por que o registro menciona a CVE-2026-39337?

A descrição afirma que a correção da CVE-2026-39337 foi incompleta, motivo pelo qual esta CVE separada trata do problema explorável remanescente no assistente de configuração.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.