« Volver al listado

CVE-2026-58409

Estado: AplazadaCrítica (9.1)—

ChurchCRM es un sistema de gestión de iglesias de código abierto. Antes de la versión 7.4.0, un administrador autenticado puede lograr la ejecución remota de código (RCE) en el servidor instalando un archivo ZIP de plugin malicioso que contenga una webshell PHP. La aplicación incluye explícitamente 'php' en su lista ALLOWED_EXTENSIONS, mientras que la lista de denegación de extensiones peligrosas (DENIED_EXTENSIONS) no bloquea los archivos .php estándar.

Leer descripción completaMostrar menos

Como `php` está incluido explícitamente en la lista de extensiones permitidas para los archivos de plugins, y los archivos extraídos se colocan directamente bajo la raíz web, cualquier archivo PHP dentro del ZIP pasa a ser inmediatamente ejecutable vía HTTP, sin necesidad siquiera de "habilitar" el plugin a través de la interfaz de usuario de la aplicación. La ruta de API /plugins/install-url (management.php) permite a un administrador obtener el ZIP malicioso desde cualquier URL HTTPS controlada por el atacante, validándolo únicamente frente a un hash SHA-256 proporcionado por el atacante. Este problema se ha corregido en la versión 7.4.0.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Acceso remoto de administrador autenticado (PR:H) a ChurchCRM para instalar ZIP malicioso con webshell PHP ejecutable bajo raíz web, logrando RCE inmediata sin activación explícita (CWE-434: carga insegura de archivo).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Disable or Remove Feature or ProgramPrivileged Account ManagementVulnerability ScanningUser Account ManagementThreat Intelligence ProgramRestrict Web-Based Content

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Churchcrm — ChurchcrmAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-58409",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-58409",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-07-14T13:06:09.208919Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 9.1,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "HIGH",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 6,
        "exploitabilityScore": 2.3
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "ChurchCRM",
          "product": "CRM",
          "versions": [
            {
              "status": "affected",
              "version": "< 7.4.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-07-13T21:16:48.450",
  "references": [
    {
      "url": "https://github.com/ChurchCRM/CRM/security/advisories/GHSA-37mf-vq43-5qp9",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/ChurchCRM/CRM/security/advisories/GHSA-37mf-vq43-5qp9",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-434"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "ChurchCRM is an open-source church management system. Prior to version 7.4.0, an authenticated administrator can achieve Remote Code Execution (RCE) on the server by installing a malicious plugin ZIP archive containing a PHP webshell. The application explicitly includes 'php' in its ALLOWED_EXTENSIONS list, while the dangerous extensions denylist (DENIED_EXTENSIONS) fails to block standard .php files. Because `php` is explicitly included in the allowed extension list for plugin archives, and extracted files are placed directly under the web root, any PHP file inside the ZIP becomes immediately executable via HTTP — without even needing to \"enable\" the plugin through the application UI. The /plugins/install-url API route (management.php) allows an administrator to source the malicious ZIP from any attacker-controlled HTTPS URL, validating it only against an attacker-supplied SHA-256 hash. This issue has been fixed in version 7.4.0."
    }
  ],
  "lastModified": "2026-07-14T16:42:11.910",
  "sourceIdentifier": "security-advisories@github.com"
}