🇰🇷 한글 설명
ChurchCRM은 오픈소스 교회 관리 시스템입니다. 6.5.3 이전 버전에서는 관리자 패널의 그룹 생성 기능에 저장형 XSS 취약점이 존재하여, 그룹 생성 권한을 가진 사용자가 악성 JavaScript를 삽입할 수 있습니다. 관리자가 해당 페이지를 열면 스크립트가 자동 실행되어 세션 쿠키가 탈취될 수 있으며, 이를 통해 관리자 계정 전체가 장악될 위험이 있습니다. 이 취약점은 6.5.3 버전에서 수정되었습니다.
💡 쉬운 설명
교회 관리 프로그램에서 그룹을 만들 수 있는 사용자가 관리자를 속이는 숨은 코드를 넣을 수 있습니다. 관리자가 그 화면을 보는 순간 코드가 실행되어 관리자 로그인 정보를 빼앗길 수 있습니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to 6.5.3, a Stored Cross-Site Scripting (Stored XSS) vulnerability in the admin panel’s group-creation feature allows any user with group-creation privileges to inject malicious JavaScript that executes automatically when an administrator views the page. This enables attackers to steal the administrator’s session cookies, potentially leading to full administrative account takeover. This vulnerability is fixed in 6.5.3.
📍 영향받는 시스템
ChurchCRM 6.5.3 미만 버전
⚔️ 공격 벡터
그룹 생성 권한을 가진 사용자가 그룹명 등 입력 필드에 악성 스크립트를 저장하고, 관리자가 해당 페이지를 열면 세션 쿠키를 탈취
🛡️ 대응 방법
ChurchCRM을 6.5.3 이상 버전으로 업그레이드하고, 그룹 생성 권한을 최소한의 사용자에게만 부여하며, 관리자 세션을 주기적으로 갱신
🔧 검증 코드
출력된 버전이 6.5.3 이상이면 취약점이 수정된 상태이며, 6.5.3 미만이거나 결과가 없으면 설치 경로 확인 후 업그레이드가 필요합니다.
grep -rhoE 'Version[^0-9]*[0-9]+\.[0-9]+\.[0-9]+' /var/www/html/ChurchCRM/composer.json /var/www/html/ChurchCRM/version.txt 2>/dev/null | head -1