CVE-2026-39336ChurchCRM 是一款开源的教堂管理系统。在 7.1.0 版本之前，该系统存在存储型跨站脚本 (XSS) 漏洞。受影响的组件包括目录报表配置字段、渲染到地址字段的人员编辑器默认值以及外部自助注册表单默认值。该漏洞主要通过滥用可写配置字段实现，属于管理员对管理员的存储型 XSS 攻击路径。攻击者可利用此漏洞执行恶意脚本操作。该问题已在 7.1.0 版本中得到修复。
该漏洞的根本原因在于 ChurchCRM 在处理用户输入并将其存储到系统配置或默认值时，缺乏足够的输出编码或输入验证。具体而言，攻击者需要具有高权限（PR:H）才能访问系统配置界面。攻击者可以在“Directory Reports form fields”（目录报表表单字段）、“Person editor defaults”（人员编辑器默认值）或“External self-registration form defaults”（外部自助注册表单默认值）等可写字段中注入恶意 JavaScript 代码。当其他管理员或用户访问包含这些被篡改数据的页面时（例如查看人员详情或报表），恶意脚本将在其浏览器上下文中执行。虽然向量显示需要用户交互（UI:R），但在存储型 XSS 场景中，通常只要受害者访问了被污染的页面即可触发。这种漏洞允许攻击者窃取管理员会话 Cookie、执行未授权操作或进一步渗透内部网络，对系统的机密性和完整性构成高风险。