CVE-2026-58411 in ChurchCRM
Riassunto
di VulDB • 14/07/2026
ChurchCRM è un sistema di gestione della chiesa open-source. Prima della versione 7.4.0 sono state identificate vulnerabilità Cross-Site Scripting (XSS) dovute a una codifica insufficiente dell'output dei nomi e dei valori dei parametri delle richieste controllati dall'utente. L'applicazione riflette l'immissione controllata dall'attaccante in contesti di stringa JavaScript e in contesti di attributi HTML senza un'adeguata sanitizzazione o una codifica contestuale dell'output. Endpoint interessati osservati durante i test: /FamilyCustomFieldsEditor.php, /PaddleNumList.php e /admin/system/church-info. Le potenziali conseguenze includono il furto del token della sessione, l'assunzione di controllo dell'account (account takeover), azioni non autorizzate per conto degli utenti autenticati, la divulgazione di informazioni sensibili sui membri della chiesa, il harvesting delle credenziali, il phishing e l'elevazione dei privilegi quando gli amministratori sono presi di mira. Questo problema è stato risolto nella versione 7.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.