CVE-2026-35534 in ChurchCRM
الملخص
بحسب VulDB • 03/06/2026
ChurchCRM هو نظام إدارة كنائز مفتوح المصدر. قبل الإصدار 7.1.0، يوجد ثغرة تخزين عبر مواقع متعددة (Stored Cross-Site Scripting - XSS) في ملف PersonView.php بسبب الاستخدام غير الصحيح لدالة sanitizeText() كمُنقي للإخراج في سياق سمات HTML. تقوم الدالة فقط بإزالة وسوم HTML، ولا تقوم بتجنب أحرف الاقتباس، مما يسمح للمهاجم بالهروب من سمة href وإدراج معالجات أحداث JavaScript تعسفية. يمكن لأي مستخدم مُصادق عليه يمتلك دور EditRecords تخزين الحمولة الضارة في حقل فيسبوك الخاص بشخص ما. يتم تفعيل هجوم XSS ضد أي مستخدم يعرض صفحة الملف الشخصي لذلك الشخص، بما في ذلك المسؤولون، مما يتيح اختطاف الجلسة والاستيلاء الكامل على الحساب. تم إصلاح هذه الثغرة في الإصدار 7.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.