CVE-2025-67876

सारांश

ChurchCRM एक ओपन-सोर्स चर्च प्रबंधन प्रणाली है। ChurchCRM संस्करण 6.4.0 और उससे पहले के संस्करणों में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है, जो "Manage Groups" अनुमति वाले निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता को समूह भूमिका नामों में स्थायी JavaScript इंजेक्ट करने की अनुमति देती है। पेलोड डेटाबेस में सहेजा जाता है और जब भी कोई उपयोगकर्ता (प्रशासकों सहित) उस भूमिका को प्रदर्शित करने वाले पृष्ठ, जैसे GroupView.php या PersonView.php, देखता है तो निष्पादित होता है। यह पूर्ण सत्र अपहरण और खाता अधिग्रहण की अनुमति देता है। प्रकाशन के समय, कोई ज्ञात पैच किया गया संस्करण उपलब्ध नहीं है।

• CVE-2025-67876PoC

  CVE-2025-67876 का विस्तृत proof-of-concept जो ChurchCRM ग्रुप रोल नामों में stored XSS दिखाता है, जो एडमिन सत्र अपहरण का कारण बनता है, पूर्ण शोषण वॉकथ्रू और सुधार अनुशंसाओं के साथ।