🇰🇷 한글 설명
ChurchCRM은 오픈소스 교회 관리 시스템입니다. 7.0.0 이전 버전의 Person Property Management 하위 시스템에 저장형 XSS 취약점이 존재하며, 이는 CVE-2023-38766 패치 이후에도 지속됩니다. 인증된 사용자가 동적으로 할당되는 사람 속성을 통해 임의의 자바스크립트를 삽입할 수 있고, 악성 페이로드는 저장되어 다른 사용자가 해당 프로필이나 인쇄용 화면을 볼 때 실행됩니다.
💡 쉬운 설명
교회 관리 프로그램에서 로그인한 사용자가 사람 정보 항목에 악성 코드를 숨겨 넣을 수 있습니다. 다른 사용자가 그 정보를 열어보면 코드가 실행되어 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to 7.0.0, a stored cross-site scripting (XSS) vulnerability exists in ChurchCRM within the Person Property Management subsystem. This issue persists in versions patched for CVE-2023-38766 and allows an authenticated user to inject arbitrary JavaScript code via dynamically assigned person properties. The malicious payload is persistently stored and executed when other users view the affected person profile or access the printable view, potentially leading to session hijacking or full account compromise. This vulnerability is fixed in 7.0.0.
📍 영향받는 시스템
ChurchCRM 7.0.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 Person Property 기능에 악성 자바스크립트를 입력해 저장하고, 피해자가 해당 프로필 또는 인쇄 화면을 열 때 실행됨
🛡️ 대응 방법
ChurchCRM을 7.0.0 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전 값이 7.0.0 미만이면 취약한 것이며, 7.0.0 이상이면 패치가 적용된 것입니다. 경로가 다르면 설치 위치에 맞게 경로를 수정하세요.
grep -ri 'version' /var/www/html/ChurchCRM/Include/Config.php 2>/dev/null || find / -name 'ChurchCRM*' -maxdepth 4 2>/dev/null | head -5