PT-2026-57882
CVE-2026-58411
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 4.0
7.0
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:L/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ChurchCRM الأقدم من 7.4.0
الوصف
يؤدي الترميز غير الكافي لأسماء وقيم معلمات الطلب التي يتحكم فيها المستخدم إلى إتاحة هجمات البرمجة النصية عبر المواقع (XSS)، حيث يعكس التطبيق المدخلات في سياقات سلاسل JavaScript وسمات HTML دون تنقية مناسبة. ويمكن أن يؤدي ذلك إلى سرقة رمز الجلسة (session-token)، والاستيلاء على الحساب، والقيام بأعمال غير مصرح بها، وكشف المعلومات الحساسة للأعضاء، وجمع بيانات الاعتماد، والتصيد الاحتيالي، وتصعيد الامتيازات. وتشمل نقاط النهاية المتأثرة ’/FamilyCustomFieldsEditor.php‘ و'/PaddleNumList.php' و'/admin/system/church-info'.
التوصيات
التحديث إلى الإصدار 7.4.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾