CVE-2025-67876
ChurchCRM présente une XSS stockée dans le nom des rôles de groupe, permettant le détournement de session administrateur.
- Publié
- 17 déc. 2025
- Mise à jour
- 18 déc. 2025
- Attribution de CNA
- GitHub_M
- Preuve observée
- 8 août 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 9,7 %
- Date du modèle
- 21 sept. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
ChurchCRM est un système open-source de gestion d'église. Une vulnérabilité de cross-site scripting (XSS) stocké existe dans les versions 6.4.0 et antérieures de ChurchCRM, permettant à un utilisateur à faibles privilèges disposant de la permission « Manage Groups » d'injecter du JavaScript persistant dans les noms de rôles de groupe. La charge utile est enregistrée dans la base de données et exécutée chaque fois qu'un utilisateur (y compris les administrateurs) consulte une page affichant ce rôle, comme GroupView.php ou PersonView.php. Cela permet le détournement complet de session et la prise de contrôle du compte. Au moment de la publication, aucune version corrigée connue n'est disponible.
Sources
1Preuve de concept détaillée de CVE-2025-67876 démontrant une XSS stockée dans les noms de rôles de groupe de ChurchCRM menant à un détournement de session administrateur, avec un guide d'exploitation complet et des recommandations de correction.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.