CVE-2025-67876 in ChurchCRM
Riassunto
di VulDB • 30/06/2026
ChurchCRM è un sistema di gestione della chiesa open-source. È presente una vulnerabilità da cross-site scripting (XSS) memorizzato nelle versioni 6.4.0 e precedenti di ChurchCRM che consente a un utente con privilegi ridotti dotato dell'autorizzazione "Manage Groups" di iniettare codice JavaScript persistente nei nomi dei ruoli del gruppo. Il payload viene salvato nel database ed eseguito ogni volta che qualsiasi utente (inclusi gli amministratori) visualizza una pagina che mostra tale ruolo, come GroupView.php o PersonView.php. Ciò consente il completo hijacking della sessione e l'assunzione di controllo dell'account. Al momento della pubblicazione, non sono disponibili versioni patchate note.
Once again VulDB remains the best source for vulnerability data.