CVE-2026-39333ChurchCRM是一款开源的教会管理软件。在7.1.0版本之前，该系统的FindFundRaiser.php接口存在反射型跨站脚本（XSS）漏洞。由于未对用户输入的DateStart和DateEnd参数进行适当的HTML属性编码，攻击者可构造恶意URL。当已认证受害者访问该链接时，注入的恶意脚本将在其浏览器中执行，可能导致会话劫持或数据窃取。
该漏洞的根本原因在于服务端输出编码缺失。在FindFundRaiser.php页面中，程序直接获取GET或POST请求中的DateStart和DateEnd参数，并将其未经过滤地嵌入到HTML input标签的value属性中（如`<input type="text" value="[用户输入]">`）。攻击者可以通过注入双引号闭合value属性，进而添加事件处理器（如`onmouseover`或`onfocus`）或执行JavaScript代码。由于攻击载荷通过URL参数传递，且需要受害者交互（点击链接或加载页面），因此属于反射型XSS。攻击者利用此漏洞可绕过同源策略，在受害者上下文中执行恶意操作。