🇰🇷 한글 설명
ChurchCRM은 오픈소스 교회 관리 시스템입니다. 7.1.0 이전 버전의 GeoPage.php에 존재하는 반사형 XSS 취약점으로 인해, 인증된 사용자가 다른 인증된 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다. 사용자 상호작용 없이 autofocus를 통해 페이로드가 자동 실행되므로, 공격자는 조작된 폼을 제출하도록 유도하여 세션 쿠키를 탈취하고 관리자 계정을 포함한 피해자 계정을 완전히 장악할 수 있습니다.
💡 쉬운 설명
교회 관리 프로그램의 한 페이지에 악성 코드를 숨길 수 있는 결함이 있습니다. 누군가 이 코드가 담긴 양식을 실행하면 로그인 정보가 탈취되어 관리자 권한까지 빼앗길 수 있습니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to 7.1.0, a reflected Cross-Site Scripting (XSS) vulnerability in GeoPage.php allows any authenticated user to inject arbitrary JavaScript into the browser of another authenticated user. Because the payload fires automatically via autofocus with no user interaction required, an attacker can steal session cookies and fully take over any victim account, including administrator accounts, by tricking them into submitting a crafted form. This vulnerability is fixed in 7.1.0.
📍 영향받는 시스템
ChurchCRM 7.1.0 이전 버전
⚔️ 공격 벡터
공격자가 조작된 폼을 만들어 인증된 사용자(특히 관리자)가 제출하도록 유도하면, 자동 실행되는 스크립트가 세션 쿠키를 탈취합니다.
🛡️ 대응 방법
ChurchCRM을 7.1.0 이상 버전으로 즉시 업데이트하고, 업데이트 전까지 관리자 접근을 제한하며 의심스러운 폼 제출을 주의합니다.
🔧 검증 코드
출력된 버전 번호가 7.1.0 미만이면 취약한 상태이므로 업데이트가 필요하며, 7.1.0 이상이면 패치가 적용된 상태입니다. 경로가 다르면 설치 디렉터리에 맞게 수정하세요.
grep -rhoE 'version[^,;]*7\.[0-9]+\.[0-9]+' /var/www/ChurchCRM/ 2>/dev/null | head -1; cat /var/www/ChurchCRM/version.txt 2>/dev/null