CVE-2026-40483

Name of the Vulnerable Software and Affected Versions ChurchCRM versões anteriores a 7.2.0

Description O Editor de Promessas renderiza valores de comentários de doações diretamente em atributos de valor de entrada HTML sem a devida filtragem. Um usuário autenticado com permissões de Finanças pode injetar caracteres de quebra de atributo HTML e manipuladores de eventos no campo de comentário. Estes são armazenados no banco de dados e executados no navegador de qualquer usuário que abra o registro de promessa para edição, resultando em Cross-Site Scripting (XSS) armazenado, que é uma técnica onde scripts maliciosos são injetados em sites confiáveis.

Recommendations Atualizar para a versão 7.2.0.