CVE-2026-39338 in ChurchCRM
الملخص
بحسب VulDB • 28/05/2026
ChurchCRM هو نظام إدارة كنائز مفتوح المصدر. قبل الإصدار 7.1.0، توجد ثغرة Cross-Site Scripting (XSS) منعكسة عمياء (Blind Reflected XSS) في معلمة البحث التي يقبلها لوحة تحكم ChurchCRM. يفشل التطبيق في تنقية أو ترميز المدخلات التي يقدمها المستخدم قبل عرضها داخل نموذج كائن المستند (DOM) للمتصفح. وعلى الرغم من أن التطبيق يعيد في النهاية خطأ HTTP 500 بسبب طلب API غير صالح ناتج عن الحمولة الضارة (payload)، فإن محرك جافا سكريبت في المتصفح يقوم بتحليل وتنفيذ الوسوم (tags) المُحقنة قبل إرجاع استجابة الخطأ — مما يؤدي إلى تنفيذ الكود بنجاح بغض النظر عن خطأ جانب الخادم. تم إصلاح هذه الثغرة في الإصدار 7.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.