CVE-2026-4909是一个存在于Exam Form Submission 1.0中的跨站脚本（XSS）漏洞。该漏洞允许远程攻击者通过操纵/admin/update_s7.php文件的sname参数来执行恶意脚本。成功利用此漏洞可能导致用户会话劫持或恶意网站重定向。受影响的版本为Exam Form Submission 1.0。目前，官方尚未发布修复补丁。
在Exam Form Submission 1.0中发现了一个跨站脚本漏洞（XSS），具体位于/admin/update_s7.php文件。该漏洞源于对'sname'参数的操纵，允许攻击者将恶意代码注入到应用程序中。潜在影响包括在与应用程序交互的用户浏览器中执行恶意脚本，可能导致敏感信息（如登录凭据）被盗、重定向到恶意网站或修改网页内容。由于漏洞可以远程利用，并且漏洞利用代码已公开，因此风险很高，需要立即采取行动。缺乏修复程序（fix）加剧了这种情况，使应用程序容易受到主动攻击。
Exam Form Submission 1.0中的XSS漏洞是通过操纵/admin/update_s7.php文件中的'sname'参数来利用的。攻击者可以通过此参数注入恶意JavaScript代码，然后在访问受影响页面的任何用户的浏览器中执行该代码。漏洞利用代码公开的事实意味着攻击者已经拥有利用此漏洞所需的工具。漏洞的远程利用特性使得攻击更容易进行，因为它不需要访问服务器的物理访问权限。缺乏修复程序大大增加了攻击成功的风险。
Administrators and users of Exam Form Submission version 1.0 are at risk. Shared hosting environments where multiple applications share the same server are particularly vulnerable, as an attacker could potentially compromise other applications on the same server through this vulnerability.
• php / web: Examine /admin/update_s7.php for inadequate input validation on the 'sname' parameter. Search access logs for requests containing suspicious JavaScript code in the 'sname' parameter.
grep -i 'script|alert' /var/log/apache2/access.log | grep /admin/update_s7.phpdisclosure
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
虽然开发人员尚未提供官方修复程序，但建议立即采取缓解措施。这些措施包括严格验证和清理所有用户输入，特别是'sname'参数。实施内容安全策略（CSP）可以帮助防止恶意脚本的执行。此外，建议积极监控应用程序是否存在可疑活动，并在解决方案可用之前暂时禁用受影响的功能。一旦可用，升级到Exam Form Submission的更高版本将是最终解决方案。还建议联系软件供应商以获取有关潜在更新的信息。
Actualizar el software Exam Form Submission a una versión corregida que mitigue la vulnerabilidad XSS. Aplicar validación y sanitización de entrada en el parámetro 'sname' en el archivo /admin/update_s7.php para evitar la inyección de código malicioso. Considere utilizar funciones de escape específicas para el contexto de salida (HTML, JavaScript, etc.).
漏洞分析和关键警报直接发送到您的邮箱。
XSS（跨站脚本）是一种安全漏洞，允许攻击者将恶意脚本注入到合法的网站中。
实施输入验证和清理，使用内容安全策略（CSP），并保持软件更新。
立即采取缓解措施，监控您的网站是否存在可疑活动，并在安全软件版本可用时升级。
目前，开发人员尚未提供官方修复程序。建议采取缓解措施。
是的，由于其远程可利用性、公开的漏洞利用代码可用性和缺乏修复程序，此漏洞非常严重。
CVSS 向量