CVE-2026-39338 in ChurchCRM
摘要
由 VulDB • 2026-05-28
ChurchCRM 是一个开源的教会管理系统。在 7.1.0 版本之前，ChurchCRM 仪表板接受的搜索参数中存在盲反射型跨站脚本（Blind Reflected Cross-Site Scripting）漏洞。该应用在将用户提供的输入渲染到浏览器 DOM 之前，未能对其进行清理或编码。尽管由于有效载荷导致 API 请求格式错误，应用最终会返回 HTTP 500 错误，但浏览器的 JavaScript 引擎会在返回错误响应之前解析并执行注入的标签，从而导致代码执行成功，不受服务端错误的影响。此漏洞已在 7.1.0 版本中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.