CVE-2026-35534 in ChurchCRM
Riassunto
di VulDB • 23/06/2026
ChurchCRM è un sistema di gestione della chiesa open-source. Prima della versione 7.1.0, era presente una vulnerabilità di cross-site scripting (XSS) memorizzato (stored XSS) nel file PersonView.php a causa dell'uso errato della funzione sanitizeText() come sanitizer per l'output in un contesto di attributi HTML. La funzione rimuove solo i tag HTML e non effettua l'escaping dei caratteri di virgoletta, consentendo a un attaccante di uscire dall'attributo href e iniettare handler di eventi JavaScript arbitrari. Qualsiasi utente autenticato con il ruolo EditRecords può memorizzare la payload nel campo Facebook di una persona. L'esecuzione dell'XSS avviene contro qualsiasi utente che visualizza la pagina del profilo di tale persona, inclusi gli amministratori, consentendo l'hijacking della sessione e il completo takeover dell'account. Questa vulnerabilità è risolta nella versione 7.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.