Vulnerabilidad en CRM de ChurchCRM (CVE-2026-58408)

ChurchCRM es un sistema de gestión de iglesias de código abierto. Antes de la versión 7.4.0, un usuario con pocos privilegios puede eludir la interfaz de usuario /admin/export y exfiltrar todo el directorio de miembros. El endpoint POST /CSVCreateFile.php genera y transmite un CSV que contiene la Información de Identificación Personal (PII) completa de cada registro de Persona/Familia en la base de datos, sin realizar ninguna comprobación de autorización a nivel de característica o a nivel de objeto más allá de la puerta de enlace general ’tiene algún permiso de administrador’ heredada del bootstrap de la página heredada. En otras palabras, cualquier bandera de permiso no-administrador es suficiente para alcanzar el endpoint de exportación masiva de CSV, a pesar de que dichos usuarios no deberían tener derechos de exportación de datos. El script de exportación carece de una comprobación de autorización dedicada isAdmin() (o una nueva bExportData) propia. Este problema ha sido solucionado en la versión 7.4.0.