🇰🇷 한글 설명
ChurchCRM은 오픈소스 교회 관리 시스템입니다. 6.5.3 이전 버전에서는 노트 편집기(Note Editor)에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재하며, 노트 추가 권한이 있는 인증된 사용자가 관리자를 포함한 다른 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있습니다. 이로 인해 세션 탈취, 권한 상승, 교회 교인의 민감한 정보에 대한 무단 접근이 가능해질 수 있습니다. 이 취약점은 6.5.3 버전에서 수정되었습니다.
💡 쉬운 설명
교회 관리 프로그램의 메모 기능에 보안 허점이 있어, 권한이 있는 일반 사용자가 악성 코드를 심을 수 있습니다. 관리자가 그 메모를 열면 관리자 계정이 탈취되어 교인 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to 6.5.3, a stored Cross-Site Scripting (XSS) vulnerability in ChurchCRM's Note Editor allows authenticated users with note-adding permissions to execute arbitrary JavaScript code in the context of other users' browsers, including administrators. This can lead to session hijacking, privilege escalation, and unauthorized access to sensitive church member data. This vulnerability is fixed in 6.5.3.
📍 영향받는 시스템
ChurchCRM 6.5.3 이전 버전
⚔️ 공격 벡터
노트 추가 권한이 있는 인증된 사용자가 노트에 악성 스크립트를 저장하고, 다른 사용자(관리자)가 이를 열람할 때 스크립트가 실행됨
🛡️ 대응 방법
ChurchCRM을 6.5.3 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 6.5.3 미만이면 취약하며, 6.5.3 이상이면 패치가 적용된 것입니다. 출력이 없으면 설치 경로를 확인하세요.
grep -rhoE 'version[^0-9]*[0-9]+\.[0-9]+\.[0-9]+' /var/www/html/ChurchCRM/ 2>/dev/null | head -1