CVE-2026-58411
Açıklama
ChurchCRM açık kaynaklı bir kilise yönetim sistemidir. Versiyon 7.4.0 öncesinde, kullanıcı kontrollü istek parametre adlarının ve parametre değerlerinin yetersiz çıktı kodlaması nedeniyle Siteler Arası Betik Çalıştırma (XSS) zafiyetleri tespit edilmiştir. Uygulama, saldırgan kontrollü girdileri uygun temizleme veya bağlamsal çıktı kodlaması yapmadan JavaScript dize bağlamlarına ve HTML öznitelik bağlamlarına yansıtmaktadır. Testler sırasında gözlemlenen etkilenen uç noktalar şunlardır: /FamilyCustomFieldsEditor.php, /PaddleNumList.php ve /admin/system/church-info. Potansiyel sonuçlar arasında oturum belirteci hırsızlığı, hesap ele geçirme, kimliği doğrulanmış kullanıcılar adına yetkisiz işlemler gerçekleştirme, hassas kilise üyesi bilgilerinin ifşası, kimlik bilgisi toplama, oltalama ve yöneticiler hedef alındığında yetki yükseltme yer almaktadır. Bu sorun versiyon 7.4.0 ile çözülmüştür.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ChurchCRM CRM | < 7.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.