PT-2026-30952 · Churchcrm · Churchcrm

Morris-Be · Publicado 2026-04-07 · Atualizado 2026-04-07 · CVE-2026-39328

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.9

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L

Name of the Vulnerable Software and Affected Versions ChurchCRM versões anteriores a 7.1.0

Description Existe um problema de scripting entre sites armazenado na funcionalidade de edição de perfil de pessoas do ChurchCRM. Usuários com permissão EditSelf podem injetar JavaScript malicioso nos campos de perfil do Facebook, LinkedIn e X. A carga útil é distribuída entre esses campos e encadeia seus manipuladores de eventos onfocus para serem executados em sequência. Quando um usuário visualiza o perfil do invasor, seus cookies de sessão são enviados para um servidor remoto.

Recommendations Atualize para a versão 7.1.0 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-39328

Produtos afetados

Churchcrm

Referências · 4

• https://github.com/ChurchCRM/CRM/security/advisories/GHSA-fcp5-pwvj-v7xm · Nota
• https://twitter.com/CVEnew/status/2041603187010879549 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39328 · Nota de Segurança
• https://twitter.com/CveFindCom/status/2041587885439172792 · Publicação no Twitter