CVE-2026-35534 in ChurchCRM
Сводка
по VulDB • 17.05.2026
ChurchCRM — это система управления церковью с открытым исходным кодом. Версии до 7.1.0 уязвимы к stored cross-site scripting (XSS) в файле PersonView.php из-за некорректного использования функции sanitizeText() в качестве санитайзера вывода для контекста HTML-атрибутов. Функция удаляет только HTML-теги, но не экранирует символы кавычек, что позволяет злоумышленнику выйти за пределы атрибута href и внедрить произвольные обработчики событий JavaScript. Любой аутентифицированный пользователь с ролью EditRecords может сохранить полезную нагрузку в поле Facebook профиля пользователя. Уязвимость активируется при просмотре страницы профиля этого пользователя любым другим пользователем, включая администраторов, что позволяет осуществлять перехват сессий и полный захват учетной записи. Уязвимость исправлена в версии 7.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.