一、 漏洞 CVE-2025-0981 基础信息
漏洞标题
通过ChurchCRM Group Editor中的存储型跨站点脚本(XSS)劫持会话
来源：AIGC 神龙大模型
漏洞描述信息
在ChurchCRM 5.13.0及之前版本中存在一个漏洞，攻击者可以通过利用Group Editor页面上的Stored Cross Site Scripting (XSS)漏洞劫持用户的会话。这使得管理员用户能够注入恶意JavaScript，捕获认证用户的会话cookie。该cookie可以被发送到外部服务器，从而实现会话劫持。此外，还会导致信息泄露，因为暴露的会话cookie可以被用来冒充用户并获取未经授权的敏感信息访问权限。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
来源：AIGC 神龙大模型
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：AIGC 神龙大模型
漏洞标题
Session Hijacking via Stored Cross-Site Scripting (XSS) in ChurchCRM GroupEditor.php Description Field
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A vulnerability exists in ChurchCRM 5.13.0 and prior that allows an attacker to hijack a user's session by exploiting a Stored Cross Site Scripting (XSS) vulnerability in the Group Editor page. This allows admin users to inject malicious JavaScript in the description field, which captures the session cookie of authenticated users. The cookie can then be sent to an external server, enabling session hijacking. It can also lead to information disclosure, as exposed session cookies can be used to impersonate users and gain unauthorised access to sensitive information.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
认证机制不恰当
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-0981 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-0981 的情报信息