CVE-2026-7015MaxSite CMS 109.3及之前版本中的Guestbook插件存在跨站脚本（XSS）漏洞。该漏洞源于组件对f_text、f_slug、f_limit及f_email等参数处理不当，攻击者可利用此缺陷进行远程攻击。尽管厂商将其归类为“Self-XSS”，但该问题仍违反安全编码标准，可能导致数据完整性受损。建议用户升级至109.4版本以修复此漏洞。
该漏洞的核心原因在于MaxSite CMS的Guestbook插件在输出用户输入数据时，未使用`htmlspecialchars()`等函数进行HTML实体转义。攻击者可以通过篡改f_text、f_slug等参数注入恶意JavaScript代码。当管理员或具有高权限的用户访问包含恶意代码的留言页面时，脚本将在其浏览器上下文中执行。虽然CVSS评分显示需要高权限和用户交互，但本质上这是存储型XSS的一种变体，利用了缺乏输出过滤的缺陷。