CVE-2026-35575ChurchCRM是一款开源的教会管理系统。在6.5.3版本之前，该系统管理员面板的群组创建功能中存在严重的存储型跨站脚本（XSS）漏洞。拥有群组创建权限的攻击者可以注入恶意JavaScript代码，该代码会在管理员查看相关页面时自动执行。利用此漏洞，攻击者能够窃取管理员的会话凭据，从而完全接管管理员账户，造成敏感数据泄露或系统被破坏。
该漏洞的根本原因在于ChurchCRM应用程序未能对用户在“群组创建”接口提交的数据进行严格的输入验证和输出编码。具体而言，当用户创建群组时，应用程序直接将未经净化的数据（如群组名称、描述等）存储在后端数据库中，且在渲染页面时未应用HTML实体转义。由于缺乏内容安全策略（CSP）的有效约束，当具有高权限的管理员访问包含恶意数据的群组管理页面时，浏览器会将这些数据解析为HTML/JavaScript并执行。攻击者利用这一机制，通过构造特定的XSS Payload（如窃取document.cookie的脚本），结合社会工程学诱导管理员查看特定页面，即可在管理员上下文中执行任意代码。这种攻击方式绕过了传统的访问控制检查，因为恶意代码是在受害者的浏览器中以受害者的身份运行的，从而实现权限提升、会话劫持及后续的恶意操作。