Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
Опубликована

CVE-2026-35575

ChurchCRM has Stored XSS in Group Name

Публикация: 07.04.2026·Обновлена: 27.10.2026, 00:10·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

ChurchCRM is an open-source church management system. Prior to 6.5.3, a Stored Cross-Site Scripting (Stored XSS) vulnerability in the admin panel’s group-creation feature allows any user with group-creation privileges to inject malicious JavaScript that executes automatically when an administrator views the page. This enables attackers to steal the administrator’s session cookies, potentially leading to full administrative account takeover. This vulnerability is fixed in 6.5.3.

Что это значит

Входные данные могут попасть в страницу как активное содержимое. При выполнении условий атаки это затрагивает пользователей приложения.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

ChurchCRM / CRM 

{
  "status": "affected",
  "version": "< 6.5.3"
}

churchcrm / churchcrm 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "6.5.3"
}
cpe:2.3:a:churchcrm:churchcrm:*:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve8
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователятребуется
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое
CVSS 3.1 · security-advisories@github.com8
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователятребуется
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-79 · Межсайтовое выполнение сценариев (XSS)CWE-1004 · Чувствительный Cookie без флага «HttpOnly»

Источники и ссылки

Материал · github.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:14:08.522598+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:50:21.349206+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:50:21.349206+00:00"
  },
  "affected": [
    "cve",
    "nvd"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:50:21.349206+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:14:08.522598+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:50:21.349206+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

  1. Данные обновлены06.11.2026, 00:14
  2. Данные обновлены05.11.2026, 00:16
  3. Данные обновлены04.11.2026, 00:13
  4. Данные обновлены03.11.2026, 00:12
  5. Данные обновлены02.11.2026, 00:11
  6. Данные обновлены31.10.2026, 11:58
  7. Данные обновлены29.10.2026, 00:50
  8. Данные обновлены28.10.2026, 18:06
  9. Опубликована28.10.2026, 15:11

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-35573
ChurchCRM has a Path traversal leads to RCE
ChurchCRM / CRM · churchcrm / churchcrm
Критический9.1
0,8 %
PoC
07.04.2026
CVE-2026-35574
ChurchCRM has a Stored XSS in Person Profile - Add a Note
ChurchCRM / CRM · churchcrm / churchcrm
Критический8.7
0,32 %
PoC
07.04.2026
CVE-2026-39318
ChurchCRM has a DDL SQL Injection in GroupPropsFormRowOps.php
ChurchCRM / CRM · churchcrm / churchcrm
Критический8.8
0,35 %
PoC
07.04.2026
CVE-2026-39328
ChurchCRM has Stored XSS in Social Profile Fields
ChurchCRM / CRM · churchcrm / churchcrm
Высокий8.9
0,21 %
07.04.2026
CVE-2026-39333
ChurchCRM has Reflected XSS in DateStart/DateEnd parameters in FindFundRaiser.php
ChurchCRM / CRM · churchcrm / churchcrm
Высокий8.7
0,22 %
07.04.2026