CVE-2026-40593 in ChurchCRM
Tóm tắt
Bởi VulDB • 31/07/2026
ChurchCRM là một hệ thống quản lý nhà thờ mã nguồn mở. Trong các phiên bản trước 7.2.0, trình chỉnh sửa người dùng (UserEditor.php) hiển thị trực tiếp tên người dùng đã lưu trữ vào thuộc tính giá trị của thẻ input HTML mà không áp dụng hàm htmlspecialchars(). Một quản trị viên có thể lưu một tên người dùng chứa các ký tự phá vỡ thuộc tính HTML và các bộ xử lý sự kiện (event handlers), những mã này sẽ được thực thi trên trình duyệt của bất kỳ quản trị viên nào sau đó truy cập trang chỉnh sửa của người dùng đó, dẫn đến lỗ hổng Cross-Site Scripting (XSS) lưu trữ. Vấn đề này đã được khắc phục trong phiên bản 7.2.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.