CVE-2026-39332 in ChurchCRM
Sumário
de VulDB • 24/06/2026
O ChurchCRM é um sistema de gestão paroquial de código aberto. Antes da versão 7.1.0, uma vulnerabilidade refletida de Cross-Site Scripting (XSS) no GeoPage.php permite que qualquer usuário autenticado injete JavaScript arbitrário no navegador de outro usuário autenticado. Como o payload é executado automaticamente via atributo autofocus sem necessidade de interação do usuário, um atacante pode roubar cookies de sessão e assumir completamente o controle de qualquer conta da vítima, incluindo contas administrativas, enganando-as para que submetam um formulário elaborado. Esta vulnerabilidade foi corrigida na versão 7.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.