CVE-2026-4909code-projects Exam Form Submission 1.0版本被发现存在安全漏洞，具体位于/admin/update_s7.php文件中。由于未对用户输入的'sname'参数进行充分的过滤和验证，导致存在跨站脚本（XSS）漏洞。攻击者可以利用此漏洞构造恶意请求，将任意脚本代码植入系统。尽管利用该漏洞需要高权限和用户交互，但攻击者可以远程发起攻击，且利用代码已公开，可能对系统的完整性造成影响。
该漏洞技术原理在于应用程序未能正确处理通过HTTP请求传递至/admin/update_s7.php页面的'sname'参数。当具有高权限的用户（如管理员）提交包含特殊字符（如 <, >, ", '）的数据时，后端应用未进行HTML实体编码或正则匹配清洗，直接将其存储至数据库。当后续用户访问渲染该数据的页面时，浏览器会将恶意代码当作HTML/JS解析执行。攻击者可借此窃取管理员的Session ID、Cookie凭证，或进行钓鱼操作。由于CVSS评分显示需要高权限（PR:H），这通常限制了攻击面，主要针对已登录的内部用户或管理员，属于典型的存储型XSS场景。