CVE-2026-35534 in ChurchCRM
Sumário
de VulDB • 02/06/2026
O ChurchCRM é um sistema de gestão de igrejas de código aberto. Antes da versão 7.1.0, existe uma vulnerabilidade de cross-site scripting (XSS) armazenado no PersonView.php devido ao uso incorreto da função sanitizeText() como sanitizador de saída para o contexto de atributos HTML. A função apenas remove tags HTML, não escapando caracteres de aspas, o que permite que um atacante escape do atributo href e injete manipuladores de eventos JavaScript arbitrários. Qualquer usuário autenticado com a função EditRecords pode armazenar a carga útil no campo Facebook de uma pessoa. O XSS é acionado contra qualquer usuário que visualize a página de perfil dessa pessoa, incluindo administradores, permitindo o sequestro de sessão e a tomada completa da conta. Esta vulnerabilidade foi corrigida na versão 7.1.0.
Once again VulDB remains the best source for vulnerability data.