JVNDB-2026-010719

ChurchCRMにおけるSQL インジェクションの脆弱性

ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.0以前において、PropertyTypeEditor.phpにSQLインジェクションの脆弱性が存在しました。これは、プロパティタイプカテゴリの管理機能（People → Person Properties / Family Properties）の一部に関係しています。この脆弱性は、HTMLを除去しSQLエスケープも行っていたlegacyFilterInput()が、HTML除去のみを行うsanitizeText()に置き換えられたことにより発生しました。NameおよびDescriptionフィールドからのユーザー入力値が、SQLエスケープなしに直接INSERTおよびUPDATEの生クエリに連結されていました。これにより、MenuOptionsロール（管理者ではないスタッフ権限）を持つ認証済みユーザーが、時間差によるブラインドSQLインジェクションを実行でき、データベースから任意のデータやユーザー全員のパスワードハッシュを含む情報を漏洩させる可能性がありました。この脆弱性は7.1.0で修正されています。

ChurchCRM

• ChurchCRM 7.1.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SQL Injection in PropertyTypeEditor.php via Incorrect Sanitizer Substitution  Advisory  ChurchCRM/CRM  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-39340

1. National Vulnerability Database (NVD) : CVE-2026-39340

• [2026年04月13日]
    掲載