CVE-2025-67876

总结

ChurchCRM 是一个开源教会管理系统。ChurchCRM 6.4.0 及更早版本中存在一个存储型跨站脚本（XSS）漏洞，允许拥有“管理群组”（Manage Groups）权限的低权限用户向群组角色名称中注入持久化 JavaScript。该载荷会保存到数据库中，并在任何用户（包括管理员）查看显示该角色的页面（如 GroupView.php 或 PersonView.php）时执行。这可能导致完整的会话劫持和账户接管。截至发布时，尚无已知的已修补版本可用。

• CVE-2025-67876PoC

  详细的CVE-2025-67876概念验证，演示ChurchCRM组角色名称中的存储型XSS导致管理员会话劫持，包含完整的利用步骤和补救建议。