🇰🇷 한글 설명
ChurchCRM은 오픈소스 교회 관리 시스템입니다. 7.1.0 이전 버전에서는 EditEventAttendees.php의 EName 및 EDesc 파라미터로 전달된 공격자 입력값이 적절한 출력 인코딩 없이 페이지에 렌더링되어, 피해자 브라우저에서 임의의 JavaScript가 실행될 수 있습니다. 이 취약점은 7.1.0에서 수정되었습니다.
💡 쉬운 설명
교회 관리 프로그램의 행사 참석자 편집 화면에 악성 스크립트를 심을 수 있는 보안 결함입니다. 피해자가 해당 링크나 페이지를 열면 공격자가 준비한 코드가 피해자 브라우저에서 실행될 수 있습니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to 7.1.0, an XSS vulnerability allows attacker-supplied input sent via a the EName and EDesc parameters in EditEventAttendees.php to be rendered in a page without proper output encoding, enabling arbitrary JavaScript execution in victims' browsers. This vulnerability is fixed in 7.1.0.
📍 영향받는 시스템
ChurchCRM 7.1.0 미만 버전
⚔️ 공격 벡터
조작된 EName/EDesc 값을 포함한 링크나 요청을 피해자가 열도록 유도하여 저장형 또는 반사형 XSS 실행
🛡️ 대응 방법
ChurchCRM을 7.1.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 7.1.0 미만이면 취약, 7.1.0 이상이면 패치 적용된 상태이며, 출력이 없으면 설치 경로를 확인해야 합니다.
grep -rhoE 'Version[^0-9]*[0-9]+\.[0-9]+\.[0-9]+' /var/www/html/ChurchCRM/version.php /var/www/html/ChurchCRM/ 2>/dev/null | head -1