CVE-2026-30559SourceCodester Sales and Inventory System 1.0版本中存在反射型跨站脚本（XSS）漏洞。该漏洞位于add_sales.php文件的msg参数处，由于应用程序未对用户输入进行适当的清理和过滤，远程攻击者可通过构造恶意的URL链接，向目标系统注入任意的Web脚本或HTML代码。当受害者点击该链接时，恶意脚本将在其浏览器中执行，可能导致窃取Cookie或会话劫持等安全风险。
该漏洞的核心原因在于SourceCodester Sales and Inventory System 1.0在处理add_sales.php页面的请求时，直接将用户通过GET请求提交的msg参数值输出到响应页面中，而未进行任何HTML实体编码或转义处理。攻击者可以利用这一缺陷，构造包含恶意JavaScript代码的URL（例如：<script>alert(document.cookie)</script>）。由于该漏洞属于反射型XSS，攻击者通常需要结合社会工程学手段诱导受害者点击特制的恶意链接。一旦受害者访问该链接，服务器会接收msg参数并将其原样反射回浏览器响应中。受害者的浏览器解析HTML页面时，会误将注入的脚本代码作为合法的HTML/JS执行。鉴于CVSS向量中包含了S:C（范围改变），这意味着漏洞的影响可能不仅限于当前页面，恶意脚本可能通过DOM操作访问其它站点的数据或修改当前浏览器会话的状态，从而窃取敏感信息（如Session ID）或进行钓鱼攻击。