CVE-2026-35534
Təsvir
ChurchCRM açıq mənbəli kilsə idarəetmə sistemidir. 7.1.0 versiyasından əvvəl, PersonView.php faylında sanitizeText() funksiyasının HTML atribut konteksti üçün çıxış təmizləyicisi kimi yanlış istifadəsi səbəbindən saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Funksiya yalnız HTML teqlərini silir, lakin dırnaq simvollarını ekranlaşdırmır ki, bu da hücumçunun href atributundan çıxaraq ixtiyari JavaScript hadisə idarəediciləri yerləşdirməsinə şərait yaradır. EditRecords roluna malik hər hansı autentifikasiya olunmuş istifadəçi zərərli kodu şəxsin Facebook sahəsində saxlaya bilər. XSS, həmin şəxsin profil səhifəsinə baxan bütün istifadəçilərə, o cümlədən administratorlara qarşı işə düşür və sessiyanın oğurlanmasına və hesabın tam ələ keçirilməsinə imkan verir. Bu zəiflik 7.1.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- churchcrm churchcrm7.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| churchcrm churchcrm | v < 7.1.0 | 7.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.