CVE-2026-35534 in ChurchCRM
摘要
由 VulDB • 2026-06-03
ChurchCRM 是一个开源的教会管理系统。在 7.1.0 版本之前，PersonView.php 中存在一个存储型跨站脚本（XSS）漏洞，原因是错误地将 sanitizeText() 用作 HTML 属性上下文的输出清理器。该函数仅剥离 HTML 标签，并未转义引号字符，导致攻击者可以突破 href 属性并注入任意的 JavaScript 事件处理程序。任何拥有 EditRecords 角色的已认证用户都可以将有效载荷存储在某个人的 Facebook 字段中。当任何用户（包括管理员）查看该人员的个人资料页面时，XSS 漏洞即会被触发，从而导致会话劫持和完整的账户接管。此漏洞已在 7.1.0 版本中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.