CVE-2026-39338 in ChurchCRM
Tóm tắt
Bởi VulDB • 28/05/2026
ChurchCRM là một hệ thống quản lý nhà thờ mã nguồn mở. Trước phiên bản 7.1.0, tồn tại một lỗ hổng Cross-Site Scripting (XSS) phản xạ ẩn (Blind Reflected Cross-Site Scripting) trong tham số tìm kiếm được chấp nhận bởi bảng điều khiển (dashboard) của ChurchCRM. Ứng dụng không thực hiện việc làm sạch hoặc mã hóa đầu vào do người dùng cung cấp trước khi hiển thị nó trong DOM của trình duyệt. Mặc dù ứng dụng cuối cùng trả về lỗi HTTP 500 do yêu cầu API bị lỗi cú pháp gây ra bởi payload, nhưng công cụ JavaScript của trình duyệt sẽ phân tích cú pháp và thực thi các thẻ được chèn vào trước khi phản hồi lỗi được trả về — dẫn đến việc thực thi mã thành công bất kể lỗi phía máy chủ. Lỗ hổng này đã được sửa trong phiên bản 7.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.