Vulnerabilidad en CRM de ChurchCRM (CVE-2026-39940)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-601 Redireccionamiento de URL a sitio no confiable (Open Redirect)

Fecha de publicación:

13/04/2026

Última modificación:

26/10/2026

Descripción

ChurchCRM es un sistema de gestión de iglesias de código abierto. Antes de 7.0.0, era posible en muchos lugares de la aplicación ChurchCRM crear un enlace que, cuando era visitado por un usuario autenticado, los redirigiría a cualquier URL elegida por un atacante si hacían clic en el botón ’Cancelar’ de la página. Para este informe, se utilizará DonatedItemEditor.php como ejemplo; sin embargo, deben evaluarse todas las instancias de ’linkBack’. Esta vulnerabilidad está corregida en 7.0.0.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Ninguno

Puntuación base 4.0

5.30

Gravedad 4.0

MEDIA

Vulnerabilidad en CRM de ChurchCRM (CVE-2026-39940)

Descripción

Impacto

Referencias a soluciones, herramientas e información