🇰🇷 한글 설명
ChurchCRM 7.4.0 이전 버전에는 사용자 입력 요청 파라미터 이름과 값에 대한 출력 인코딩이 부족하여 XSS 취약점이 존재합니다. 공격자가 제어하는 입력이 JavaScript 문자열 및 HTML 속성 컨텍스트에 적절한 정화 없이 반영됩니다. 해당 이슈는 7.4.0 버전에서 수정되었습니다.
💡 쉬운 설명
교회 관리 프로그램에 악성 스크립트를 심을 수 있는 취약점입니다. 관리자가 해당 링크를 클릭하면 로그인 정보나 교인 개인정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
ChurchCRM is an open-source church management system. Prior to version 7.4.0, Cross-Site Scripting (XSS) vulnerabilities were identified due to insufficient output encoding of user-controlled request parameter names and parameter values. The application reflects attacker-controlled input into JavaScript string contexts and HTML attribute contexts without proper sanitization or contextual output encoding. Affected endpoints observed during testing: /FamilyCustomFieldsEditor.php, /PaddleNumList.php and /admin/system/church-info. Potential consequences include session-token theft, account takeover, unauthorized actions on behalf of authenticated users, exposure of sensitive church member information, credential harvesting, phishing, and privilege escalation when administrators are targeted. This issue has been resolved in version 7.4.0.
📍 영향받는 시스템
ChurchCRM 7.4.0 미만 버전 (/FamilyCustomFieldsEditor.php, /PaddleNumList.php, /admin/system/church-info 엔드포인트)
⚔️ 공격 벡터
조작된 URL이나 파라미터를 피해자(특히 관리자)가 열도록 유도하여 악성 스크립트를 실행시키는 반사형 XSS 방식
🛡️ 대응 방법
ChurchCRM을 7.4.0 이상 버전으로 업그레이드하고 신뢰할 수 없는 링크 접근을 주의합니다.
🔧 검증 코드
출력된 version 값이 7.4.0 미만이면 취약하며, 7.4.0 이상이면 패치가 적용된 것입니다. 경로는 설치 환경에 맞게 수정하세요.
grep -rE "version" /var/www/html/ChurchCRM/composer.json 2>/dev/null | head -n 5