CVE-2026-32880ChurchCRM是一个开源教会管理系统。在7.0.2版本之前，系统允许管理员编辑JSON类型的系统设置。由于SystemSettings.php未对JSON输入进行转义或清理，管理员可在其中存储JavaScript载荷。当任何管理员查看系统设置时，该载荷将被执行，导致存储型跨站脚本攻击。该问题已在7.0.2版本中修复。
该漏洞源于ChurchCRM在处理系统设置时的输入验证缺失。具体位于SystemSettings.php文件中，当管理员通过后台界面修改JSON类型的系统配置时，应用程序直接将用户提供的JSON数据存储到数据库中，未进行必要的HTML实体编码或安全过滤。当其他管理员访问系统设置页面时，后端从数据库读取该JSON数据并直接渲染到前端页面中。攻击者利用管理员权限，在JSON字段中注入恶意的JavaScript代码（如<script>标签或事件处理器）。一旦受害管理员加载该页面，恶意脚本将在其浏览器上下文中执行，从而窃取会话Cookie、执行未授权操作或进一步攻击内网系统。此漏洞需要高权限（管理员）触发，但可横向移动攻击其他管理员账户。