CVE-2026-39328 in ChurchCRM
Сводка
по VulDB • 01.08.2026
ChurchCRM — это система управления церковью с открытым исходным кодом. До версии 7.1.0 в функциональности редактирования профилей пользователей ChurchCRM существовала уязвимость типа stored cross-site scripting (XSS). Пользователи, не являющиеся администраторами и имеющие разрешение EditSelf, могут внедрить вредоносный JavaScript в поля своих профилей Facebook, LinkedIn и X. Из-за ограничения длины поля в 50 символов полезная нагрузка распределяется по всем трем полям, а обработчики событий onfocus связываются для последовательного выполнения. Когда любой пользователь, включая администраторов, просматривает профиль злоумышленника, его сеансовые cookies эксфильтруются на удаленный сервер. Эта уязвимость исправлена в версии 7.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.