CVE-2026-35534
Açıklama
ChurchCRM açık kaynaklı bir kilise yönetim sistemidir. 7.1.0 sürümünden önce, PersonView.php dosyasında, sanitizeText() fonksiyonunun HTML öznitelik bağlamı için bir çıktı temizleyici olarak yanlış kullanımı nedeniyle saklanan siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Fonksiyon yalnızca HTML etiketlerini kaldırmakta, tırnak karakterlerini kaçırmamaktadır; bu durum, bir saldırganın href özniteliğinden çıkmasına ve rastgele JavaScript olay işleyicileri eklemesine olanak tanımaktadır. EditRecords rolüne sahip herhangi bir kimliği doğrulanmış kullanıcı, yükü (payload) bir kişinin Facebook alanına kaydedebilir. XSS, yöneticiler dahil olmak üzere söz konusu kişinin profil sayfasını görüntüleyen tüm kullanıcılara karşı tetiklenerek oturum çalma ve tam hesap ele geçirme imkanı sağlar. Bu zafiyet 7.1.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- churchcrm churchcrm7.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| churchcrm churchcrm | v < 7.1.0 | 7.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.