CVE-2026-35574ChurchCRM是一款开源的教会管理系统。在6.5.3版本之前，其Note Editor组件存在存储型XSS漏洞。拥有添加笔记权限的认证用户可以利用该漏洞注入恶意JavaScript代码。当其他用户（包括管理员）查看被注入的笔记时，恶意代码将在其浏览器上下文中执行。攻击者可借此窃取会话令牌、提升权限或访问敏感的教会成员数据。
该漏洞属于存储型跨站脚本攻击（Stored XSS）。漏洞成因在于ChurchCRM的Note Editor功能未能对用户输入的内容进行充分的过滤和转义，直接将其存储在数据库中。当具备笔记添加权限的攻击者通过编辑器输入特制的JavaScript payload（例如`<script>alert(document.cookie)</script>`）并提交后，该恶意脚本会被持久化保存。随后，当管理员或其他具有权限的用户访问包含该恶意笔记的页面时，服务器会从数据库读取未经过滤的内容并渲染到HTML页面中，导致浏览器执行攻击者注入的脚本。由于攻击发生在受害者的浏览器上下文中，攻击者可以利用DOM操作窃取Session Cookie、重定向到钓鱼网站或执行进一步的操作，从而接管受害者账户。