CVE-2026-30566 SourceCodester销售库存系统XSS漏洞

SourceCodester Sales and Inventory System 1.0版本存在反射型跨站脚本（XSS）漏洞。该漏洞源于view_customers.php文件未对“limit”参数进行充分过滤。远程攻击者可利用此漏洞，通过构造特制的恶意链接诱导用户点击，进而在受害者浏览器中执行任意Web脚本或HTML代码，可能导致窃取Cookie或会话劫持。

该漏洞属于反射型XSS。应用程序在view_customers.php页面处理用户请求时，直接将GET参数“limit”的值输出到页面响应中，未进行任何HTML实体编码或输入验证。攻击者可以构造包含恶意JavaScript代码的URL，例如`/view_customers.php?limit=10<script>alert(document.cookie)</script>`。当受害者访问此URL时，服务器会将恶意脚本原样反射回浏览器。由于浏览器无法区分响应中的合法脚本与注入的恶意脚本，导致代码在受害者上下文中执行。攻击者可借此窃取敏感信息、执行未授权操作，并结合S:C（范围改变）特性影响同一浏览器环境下的其他会话。