Vulnerabilidad en CRM de ChurchCRM (CVE-2026-35534)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

07/04/2026

Última modificación:

26/10/2026

Descripción

ChurchCRM es un sistema de gestión de iglesias de código abierto. Antes de 7.1.0, existe una vulnerabilidad de cross-site scripting almacenado en PersonView.php debido al uso incorrecto de sanitizeText() como un saneador de salida para el contexto de atributos HTML. La función solo elimina las etiquetas HTML, no escapa los caracteres de comillas, lo que permite a un atacante salir del atributo href e inyectar controladores de eventos JavaScript arbitrarios. Cualquier usuario autenticado con el rol EditRecords puede almacenar la carga útil en el campo de Facebook de una persona. El XSS se activa contra cualquier usuario que ve la página de perfil de esa persona, incluidos los administradores, lo que permite el secuestro de sesión y la toma de control total de la cuenta. Esta vulnerabilidad está corregida en 7.1.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.60 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno