CVE-2026-7014MaxSite CMS 109.3及更早版本的down_count插件组件中存在安全漏洞。由于未对`f_file`和`f_prefix`参数进行充分的过滤（如使用`htmlspecialchars()`），攻击者可利用此缺陷发起跨站脚本攻击（XSS）。尽管厂商认为这属于需要高权限的Self-XSS，且攻击需要用户交互，但它仍存在安全风险。该漏洞已被公开披露，建议用户立即采取措施进行修复，以防止潜在的完整性影响。
该漏洞的技术根源在于MaxSite CMS的`down_count`插件对用户输入参数`f_file`和`f_prefix`的处理存在疏漏。在数据处理流程中，插件未调用`htmlspecialchars()`等函数对输入数据进行HTML实体转义，导致攻击者能够注入恶意的脚本代码。根据CVSS向量分析（AV:N/AC:L/PR:H/UI:R/S:U），攻击虽然可以在网络远程发起，且攻击复杂度较低，但要求目标用户具有高权限（PR:H）并需要某种形式的用户交互（UI:R）。尽管厂商将其定性为“Self-XSS”，通常意味着攻击风险局限于当前用户上下文，但未过滤的XSS仍可能被利用进行钓鱼攻击或篡改页面数据，破坏系统的完整性。攻击者可通过构造特定的恶意链接或参数，诱导授权用户访问以触发漏洞执行。