通过反射型跨站脚本 (XSS) 在 ChurchCRM EditEventAttendees.php EID 参数中劫持会话

该 XSS 漏洞的潜在影响非常严重。攻击者可以利用此漏洞窃取用户的会话 Cookie，从而冒充用户执行各种操作，例如修改用户信息、访问敏感数据，甚至完全控制 ChurchCRM 应用程序。此外，攻击者还可以利用此漏洞在受害者的浏览器中执行任意 JavaScript 代码，从而进行恶意重定向、信息窃取或其他恶意活动。由于该漏洞需要管理员权限，攻击者可能需要先获取管理员账户才能利用此漏洞，但一旦成功，其影响范围将非常广泛。

Organizations utilizing ChurchCRM, particularly those with administrative users who may be targeted by social engineering attacks, are at risk. Shared hosting environments where multiple ChurchCRM instances reside on the same server could potentially expose multiple organizations to this vulnerability if one instance is compromised.

• php: Examine access logs for suspicious requests to EditEventAttendees.php containing unusual characters or JavaScript code in the EID parameter. Look for patterns like <script> or javascript:.

grep -i 'script|javascript' /var/log/apache2/access.log | grep EditEventAttendees.php

• generic web: Use curl to test the EditEventAttendees.php endpoint with a simple XSS payload (e.g., <script>alert('XSS')</script>) in the EID parameter and observe the response for signs of script execution.

curl 'http://your-churchcrm-instance/EditEventAttendees.php?EID=<script>alert("XSS")</script>' -s

1. 2025-02-19Disclosure

   disclosure

1. 已保留2025-02-04
2. 发布日期2025-02-19
3. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级 ChurchCRM 至 5.13.1 或更高版本。如果升级过程存在问题，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。此外，可以实施 Web 应用防火墙 (WAF) 或代理服务器规则，以过滤可疑的输入，并阻止包含恶意 JavaScript 代码的请求。建议对 EditEventAttendees.php 页面进行严格的输入验证和输出编码，以防止 XSS 攻击。