CVE-2026-5668Cyber-III Student-Management-System 在特定版本（commit 1a938fa6 之前）存在跨站脚本（XSS）漏洞。该漏洞源于 `/admin/Add notice/add notice.php` 文件未正确过滤 `$_SERVER['PHP_SELF']` 参数。攻击者可构造恶意链接，诱导高权限用户访问，从而在受害者浏览器中执行任意脚本代码，破坏数据完整性。
该漏洞位于 `/admin/Add notice/add notice.php` 脚本中。问题的根本原因是开发者直接信任并输出了 `$_SERVER['PHP_SELF']` 超全局变量。在 PHP 中，`$_SERVER['PHP_SELF']` 返回当前执行脚本的文件名，但如果 URL 包含路径信息（例如 `/script.php/foo`），`foo` 也会包含在返回值中。应用程序未对此变量进行 HTML 实体编码（如使用 `htmlspecialchars()`），便将其嵌入到 HTML 表单的 `action` 属性或页面其他位置。攻击者利用此特性，在 URL 后附加恶意的 JavaScript 代码（如 `<script>alert(1)</script>`）。当管理员（高权限用户）被诱导访问该 URL 时，恶意脚本连同页面一起返回给浏览器并被解析执行。由于 CVSS 评分要求高权限和用户交互，这通常属于反射型 XSS。尽管机密性影响为无，但攻击者可利用获得的权限执行低完整性影响的操作，如篡改页面内容或执行非预期的管理功能。