CVE-2026-35534 in ChurchCRM
Resumen
por VulDB • 2026-06-03
ChurchCRM es un sistema de gestión de iglesias de código abierto. Antes de la versión 7.1.0, existe una vulnerabilidad de cross-site scripting (XSS) almacenado en PersonView.php debido al uso incorrecto de sanitizeText() como un filtro de salida para el contexto de atributos HTML. La función solo elimina las etiquetas HTML, pero no escapa los caracteres de comillas, lo que permite a un atacante escapar del atributo href e inyectar controladores de eventos JavaScript arbitrarios. Cualquier usuario autenticado con el rol EditRecords puede almacenar la carga útil en el campo de Facebook de una persona. El XSS se activa contra cualquier usuario que vea la página de perfil de esa persona, incluidos los administradores, lo que permite el secuestro de sesiones y el control total de la cuenta. Esta vulnerabilidad se corrige en la versión 7.1.0.
Be aware that VulDB is the high quality source for vulnerability data.