🇰🇷 한글 설명
ChurchCRM은 오픈소스 교회 관리 시스템입니다. 7.1.0 이전 버전에는 사용자 프로필 편집 기능에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. EditSelf 권한을 가진 일반 사용자가 Facebook, LinkedIn, X 프로필 필드에 악성 자바스크립트를 삽입할 수 있으며, 관리자를 포함한 다른 사용자가 해당 프로필을 조회하면 세션 쿠키가 외부 서버로 유출됩니다. 이 취약점은 7.1.0 버전에서 수정되었습니다.
💡 쉬운 설명
교회 관리 프로그램에서 일반 사용자가 자신의 SNS 입력란에 몰래 악성 코드를 넣을 수 있습니다. 누군가 그 프로필을 보면 로그인 정보가 빠져나갈 수 있습니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to 7.1.0, a stored cross-site scripting vulnerability exists in ChurchCRM's person profile editing functionality. Non-administrative users who have the EditSelf permission can inject malicious JavaScript into their Facebook, LinkedIn, and X profile fields. Due to a 50-character field limit, the payload is distributed across all three fields and chains their onfocus event handlers to execute in sequence. When any user, including administrators, views the attacker's profile, their session cookies are exfiltrated to a remote server. This vulnerability is fixed in 7.1.0.
📍 영향받는 시스템
ChurchCRM 7.1.0 미만 버전
⚔️ 공격 벡터
EditSelf 권한을 가진 사용자가 SNS 프로필 필드 3곳에 나눠 악성 스크립트를 삽입하고, 조회하는 사용자의 세션 쿠키를 탈취
🛡️ 대응 방법
ChurchCRM을 7.1.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 값이 7.1.0 미만이면 취약, 7.1.0 이상이면 패치 적용된 상태입니다. 경로가 다르면 ChurchCRM 설치 디렉터리로 경로를 바꿔 실행하세요.
grep -rE '"version"|VERSION' /var/www/html/ChurchCRM/composer.json /var/www/html/ChurchCRM/package.json 2>/dev/null | head -5
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L
💻 영향받는 소프트웨어
Multi-Domain Security Management Server