通过 'username' 参数的登录页面存在反射型 XSS (Reflected XSS)

攻击者可以利用此 XSS 漏洞在 ChurchCRM 的登录页面注入恶意 JavaScript 代码。通过构造恶意的 URL，攻击者可以将 JavaScript 代码作为用户名参数传递给登录页面。由于 ChurchCRM 未对用户名参数进行适当的过滤或编码，这些恶意代码将直接显示在登录页面输入元素中。一旦成功执行，攻击者可以窃取用户的敏感信息，例如会话 cookie，或者修改页面内容，显示虚假的登录表单，诱骗用户输入凭据。这种攻击可能导致用户账户被盗用，敏感数据泄露，甚至可能被用于进一步的攻击。

Churches and organizations utilizing ChurchCRM versions 0.0.0 through 7.0 are at risk. This includes deployments with limited security expertise and those relying on default configurations. Shared hosting environments where multiple ChurchCRM instances reside on the same server are particularly vulnerable, as a successful attack on one instance could potentially compromise others.

• php: Examine ChurchCRM application logs for suspicious URL parameters containing JavaScript code in the username field. Use grep to search for patterns like <script> or alert() within the logs.

grep -i '<script>.*alert\(.*\)' /var/log/apache2/access.log

• generic web: Monitor access logs for requests to the login page with unusual or excessively long username parameters. Use curl to test the login page with a simple XSS payload and observe the response.

curl 'http://churchcrm.example.com/login.php?username=<script>alert("XSS")</script>' -s

1. 2026-04-07Disclosure

   disclosure

1. 已保留2026-04-06
2. 发布日期2026-04-07
3. 修改日期2026-04-08
4. EPSS 更新日期2026-04-15

解决此漏洞的最佳方法是升级 ChurchCRM 至 7.1.0 或更高版本。如果无法立即升级，可以考虑以下缓解措施：在登录页面输入元素周围添加额外的输入验证和输出编码，以防止恶意代码的注入。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以过滤包含恶意 JavaScript 代码的 URL 请求。定期审查 ChurchCRM 的配置，确保其安全性。