CVE-2026-7390SourceCodester Pharmacy Sales and Inventory System 1.0版本中存在安全漏洞。该漏洞位于/index.php?page=customer文件的Customer函数中。由于对参数Name缺乏适当的过滤和验证，攻击者可以通过注入恶意脚本代码导致跨站脚本攻击（XSS）。攻击者可利用此漏洞在受害者浏览器中执行恶意代码，窃取Cookie或进行钓鱼攻击。该漏洞利用难度较低，且攻击代码已公开，对系统安全性构成一定威胁。
该漏洞属于典型的输入验证缺失导致的跨站脚本攻击。在SourceCodester Pharmacy Sales and Inventory System 1.0中，当系统管理员或授权用户访问Customer管理功能（通过/index.php?page=customer）提交或修改客户信息时，后端未对“Name”参数进行严格的输入过滤和转义处理。攻击者可以构造包含JavaScript代码的恶意数据（如<script>alert(1)</script>）作为Name参数的值发送至服务器。服务器将此恶意数据直接存储在数据库中。当其他具有低权限的用户或管理员访问受影响的客户列表页面时，存储在数据库中的恶意脚本会在其浏览器上下文中渲染并执行。由于CVSS向量显示UI:R（需要用户交互）和PR:L（需要低权限），攻击通常需要诱导用户访问特定页面或进行点击操作。该漏洞主要影响数据的完整性（I:L），可能导致会话劫持或恶意操作。