CVE-2026-6162PHPGurukul Company Visitor Management System 2.0版本中存在一处跨站脚本（XSS）漏洞。该漏洞源于`/bwdates-reports-details.php`文件未对`fromdate`参数进行有效的安全过滤。由于缺乏适当的输出编码，攻击者能够通过构造包含恶意JavaScript代码的URL参数，远程发起攻击。当低权限用户访问并交互（如点击链接）时，恶意脚本将在受害者浏览器中执行。此漏洞虽被评定为低危（CVSS 3.5），但仍可能被利用于窃取用户凭证或篡改页面内容。鉴于相关利用代码已公开，管理员需提高警惕。
漏洞的核心在于PHPGurukul Company Visitor Management System 2.0在处理报表详情页请求时，直接将用户输入的`fromdate`参数反射回响应页面，未实施任何HTML实体编码或输入清洗机制。攻击者可以利用这一缺陷，设计特制的恶意链接，将`<script>`等危险标签作为参数值传递。
根据CVSS向量分析，该攻击需要低权限（PR:L）和用户交互（UI:R），典型的攻击场景是钓鱼攻击。攻击者诱导受害者点击恶意链接，服务器接收请求后，将参数值未经处理地嵌入HTML源码中。受害者的浏览器解析HTML时，会执行其中的恶意脚本。一旦脚本运行，攻击者即可在受害者浏览器上下文中执行任意操作，例如窃取Session Cookie导致账户被劫持，或者重定向到恶意网站。由于该漏洞位于报表模块，常被管理员使用，一旦针对管理员进行攻击，可能导致后台权限的间接获取，从而提升攻击危害等级。修复此问题需在服务器端对`fromdate`参数进行白名单验证，并使用`htmlspecialchars`等函数对输出内容进行转义。