CVE-2026-39941ChurchCRM是一款广泛使用的开源教堂管理软件。在7.1.0版本之前，系统被发现存在一处存储型跨站脚本（XSS）漏洞。攻击者无需认证即可利用该漏洞，通过向`EditEventAttendees.php`接口的`EName`和`EDesc`参数注入恶意HTML或JavaScript代码。由于系统缺乏有效的输出编码机制，当受害者浏览相关页面时，恶意代码将在其浏览器中执行，可能导致账户被劫持或敏感数据泄露。
该漏洞的成因在于ChurchCRM后端未能对特定输入参数实施安全的输出转义。具体而言，在处理事件参与者编辑功能时，`EditEventAttendees.php`脚本直接接收并存储了`EName`和`EDesc`参数的值，而在后续的页面渲染阶段，未对这些数据进行HTML实体编码。攻击者可以精心构造包含恶意的JavaScript载荷，例如`<img src=x onerror=alert(1)>`，并通过POST请求提交。一旦数据被写入数据库，任何访问受感染事件页面的用户都会触发脚本执行。由于CVSS 3.1评分为6.1（中危），且攻击无需用户交互即可注入（尽管执行需要用户交互），这构成了一个较为严重的安全隐患，特别是在多用户管理环境中。