ChurchCRM tiene XSS Almacenado en el Nombre del Grupo

La vulnerabilidad XSS almacenada en ChurchCRM representa un riesgo significativo para la seguridad de las instituciones que utilizan este sistema. Un atacante puede aprovechar esta falla para inyectar código JavaScript malicioso en la interfaz de administración, específicamente durante el proceso de creación de grupos. Al ser visualizada por un administrador, esta página infectada ejecutará el código inyectado, permitiendo al atacante robar las cookies de sesión del administrador. Con las cookies de sesión comprometidas, el atacante puede suplantar la identidad del administrador y obtener acceso completo a la cuenta administrativa, pudiendo realizar modificaciones no autorizadas, acceder a información confidencial, o incluso comprometer la integridad del sistema. La gravedad de esta vulnerabilidad radica en la facilidad con la que un atacante puede explotarla y el impacto potencial en la seguridad de la organización.

Churches and religious organizations using ChurchCRM versions 6.5.0 through 6.5.2 are at direct risk. Organizations with limited IT security resources or those relying on shared hosting environments are particularly vulnerable, as they may be slower to apply security updates. Administrators with group-creation privileges are the most immediate targets.

• php: Examine ChurchCRM logs for suspicious POST requests to the group creation endpoint containing JavaScript payloads. Use grep to search for patterns like <script> or alert() within these logs. • generic web: Monitor access logs for requests to the group creation endpoint with unusual user agents or referrer headers. • generic web: Use curl to test the group creation endpoint with a simple XSS payload and observe the response for signs of script execution (e.g., an alert box).

curl -X POST -d 'group_name=<script>alert("XSS")</script>' http://churchcrm/admin/group_create.php

1. 2026-04-07Disclosure

   disclosure

1. Reservado2026-04-03
2. Publicada2026-04-07
3. EPSS actualizado2026-04-15

La mitigación principal para la vulnerabilidad XSS en ChurchCRM es actualizar a la versión 6.5.3, que incluye la corrección de seguridad. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales. Una posible solución temporal es restringir los privilegios de creación de grupos a un número limitado de usuarios de confianza. Además, se puede implementar una Web Application Firewall (WAF) con reglas para detectar y bloquear intentos de inyección de código JavaScript en la página de creación de grupos. Es crucial revisar y endurecer las políticas de contraseñas y habilitar la autenticación de dos factores para los usuarios con privilegios administrativos. Tras la actualización, confirme que la vulnerabilidad ha sido resuelta revisando el código fuente o realizando pruebas de penetración.