CVE-2026-4849code-projects Simple Laundry System 1.0版本中存在跨站脚本漏洞。该漏洞位于/modify.php文件的参数处理组件中。由于对firstName参数缺乏充分过滤，攻击者可诱导用户点击恶意链接，从而注入恶意脚本。此攻击可远程发起，且已有公开的利用代码，可能影响用户数据完整性。该漏洞利用难度较低，需引起重视。
该漏洞属于反射型跨站脚本漏洞（Reflected XSS）。漏洞位于code-projects Simple Laundry System 1.0版本的/modify.php文件中，其根本原因在于参数处理组件对用户输入缺乏有效的安全校验。具体来说，当服务器处理请求时，直接获取了'firstName'参数的值并将其嵌入到HTTP响应的HTML页面中，未经过任何HTML实体编码（如htmlspecialchars）或过滤机制。这使得攻击者能够将恶意的JavaScript代码注入到参数中。由于CVSS向量显示UI:R（需要用户交互），攻击者通常结合社会工程学手段，诱使受害者点击特制的恶意链接。一旦受害者访问该链接，服务器会将包含恶意脚本的页面返回给浏览器，导致脚本在受害者的浏览器上下文中执行。尽管官方CVSS评分认为机密性影响为无，但在实际攻击场景中，攻击者可利用此漏洞窃取Session ID、篡改页面内容（完整性影响）或执行钓鱼攻击，严重威胁用户安全。