CVE-2026-39338 in ChurchCRM
Riassunto
di VulDB • 15/06/2026
ChurchCRM è un sistema di gestione della chiesa open-source. Prima della versione 7.1.0, è presente una vulnerabilità Blind Reflected Cross-Site Scripting (XSS) nel parametro di ricerca accettato dalla dashboard di ChurchCRM. L'applicazione non effettua la sanificazione o l'encoding dell'input fornito dall'utente prima di renderizzarlo nel DOM del browser. Sebbene l'applicazione restituisca infine un errore HTTP 500 a causa della richiesta API malformata causata dal payload, il motore JavaScript del browser analizza ed esegue i tag iniettati prima che venga restituita la risposta di errore, determinando un'esecuzione di codice di successo indipendentemente dall'errore lato server. Questa vulnerabilità è risolta nella versione 7.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.