PT-2025-51922 · Churchcrm · Churchcrm

Lukasz-Rybak · Publicado 2025-12-17 · Atualizado 2025-12-20 · CVE-2025-67876

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L

Nome do Software Vulnerável e Versões Afetadas ChurchCRM versões 6.4.0 e anteriores

Descrição O ChurchCRM é um sistema de gerenciamento de igrejas de código aberto afetado por uma vulnerabilidade de cross-site scripting (XSS) armazenado. Um usuário com a permissão "Gerenciar Grupos" pode injetar JavaScript persistente nos nomes de funções do grupo. Este código malicioso é armazenado no banco de dados e executado quando qualquer usuário visualiza páginas que exibem essa função, como GroupView.php ou PersonView.php. Isso pode levar ao sequestro completo de sessão e tomada de conta. A vulnerabilidade impacta a exibição de funções de grupo, afetando potencialmente qualquer página que renderize essas informações.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-67876

GHSA-J9GV-26C7-3QRH

Produtos afetados

Churchcrm

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/67xxx/CVE-2025-67876.json · Exploit
• 🔥 https://github.com/ChurchCRM/CRM/security/advisories/GHSA-j9gv-26c7-3qrh · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-67876 · Nota de Segurança
• https://twitter.com/0dayPublishing/status/2001403405571375298 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2001465131218215237 · Publicação no Twitter
• https://t.me/cveNotify/146235 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2002487821286977573 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-67876 · Aviso do Fabricante