CVE-2026-35534 in ChurchCRM
Résumé
par VulDB • 24/05/2026
ChurchCRM est un système de gestion d'église open source. Avant la version 7.1.0, une vulnérabilité de type cross-site scripting (XSS) stocké (stored XSS) existe dans PersonView.php en raison d'une utilisation incorrecte de la fonction sanitizeText() en tant que sanitizeur de sortie pour le contexte des attributs HTML. La fonction ne supprime que les balises HTML ; elle n'échappe pas les caractères de guillemet, ce qui permet à un attaquant de sortir de l'attribut href et d'injecter des gestionnaires d'événements JavaScript arbitraires. Tout utilisateur authentifié disposant du rôle EditRecords peut stocker la charge utile dans le champ Facebook d'une personne. L'XSS se déclenche pour tout utilisateur consultant la page de profil de cette personne, y compris les administrateurs, permettant ainsi le détournement de session et la prise de contrôle totale du compte. Cette vulnérabilité est corrigée dans la version 7.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.