CVE-2026-39338 in ChurchCRM
Résumé
par VulDB • 28/05/2026
ChurchCRM est un système de gestion d'église open source. Avant la version 7.1.0, une vulnérabilité de type Cross-Site Scripting (XSS) réfléchi et aveugle (Blind Reflected XSS) existe dans le paramètre de recherche accepté par le tableau de bord de ChurchCRM. L'application ne nettoie ni n'encode l'entrée fournie par l'utilisateur avant de la restituer dans le DOM du navigateur. Bien que l'application retourne finalement une erreur HTTP 500 en raison de la requête API malformée causée par la charge utile, le moteur JavaScript du navigateur analyse et exécute les balises injectées avant que la réponse d'erreur ne soit renvoyée, ce qui entraîne une exécution de code réussie indépendamment de l'erreur côté serveur. Cette vulnérabilité est corrigée dans la version 7.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.