CVE-2026-39328 in ChurchCRM
要約
〜によって VulDB • 2026年06月02日
ChurchCRMはオープンソースの教会管理システムです。バージョン7.1.0より前では、ChurchCRMの人物プロフィール編集機能に格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。EditSelf権限を持つ非管理者ユーザーは、Facebook、LinkedIn、およびXのプロフィールフィールドに悪意のあるJavaScriptを注入できます。50文字のフィールド制限のため、ペイロードは3つのフィールドすべてに分散され、onfocusイベントハンドラが順次実行されるようにチェーンされます。管理者を含むすべてのユーザーが攻撃者のプロフィールを閲覧すると、セッションクッキーがリモートサーバーに漏洩します。この脆弱性は7.1.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.