ChurchCRM には PersonView.php の Facebook フィールド属性インジェクションによる Stored XSS が存在します

このXSS脆弱性を悪用されると、攻撃者はChurchCRMの管理権限を持つユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、機密情報の窃取、セッションハイジャック、フィッシング攻撃、さらにはシステム全体の制御奪取といった深刻な被害が発生する可能性があります。特に、管理者アカウントを標的とすることで、ChurchCRMシステム全体への影響が及ぶ可能性があります。攻撃者は、被害者のブラウザを介して、他のユーザーの個人情報や教会関連の機密データにアクセスしたり、悪意のあるリダイレクトを実行したりすることが可能です。この脆弱性は、類似のXSS攻撃と同様に、広範囲な被害をもたらす可能性があります。

Churches and organizations using ChurchCRM versions 0.0.0 through 7.0 are at risk. This includes smaller churches relying on open-source solutions and organizations with limited security resources. Shared hosting environments where multiple ChurchCRM instances reside on the same server are particularly vulnerable, as a compromise of one instance could potentially impact others.

• php: Examine ChurchCRM's PersonView.php file for instances of sanitizeText() being used to sanitize HTML attributes. Search for suspicious JavaScript code within the Facebook field data. • generic web: Monitor access logs for requests to PersonView.php with unusual parameters or POST data. Look for patterns indicative of XSS attempts. • generic web: Use a WAF to detect and block XSS payloads targeting the Facebook field. Configure rules to identify and block requests containing suspicious JavaScript code. • generic web: Review user profiles for unexpected or malicious content in the Facebook field.

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-04-03
2. 公開日2026-04-07
3. 更新日2026-04-09
4. EPSS 更新日2026-04-15

ChurchCRMのバージョンを7.1.0にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが直ちに実行できない場合は、WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御するルールを設定することを推奨します。また、入力値の検証を強化し、sanitizeText()関数の使用方法を見直すことで、同様の脆弱性の発生を防止できます。ChurchCRMのログを監視し、不審なアクティビティがないか確認することも重要です。アップデート後、ChurchCRMのセキュリティ設定を確認し、不要な権限を削除するなど、セキュリティ強化策を講じてください。