CVE-2026-8136SourceCodester Pharmacy Sales and Inventory System 1.0版本被发现存在跨站脚本漏洞。漏洞位于/index.php?page=users文件，由于对Name参数缺乏严格的输入验证和输出编码，攻击者可诱导高权限用户进行交互，进而执行恶意JavaScript代码，造成数据完整性破坏。
该漏洞源于应用程序在处理用户输入时缺乏安全编码实践，属于典型的输入验证缺失问题。具体而言，在/index.php?page=users接口中，参数Name未经过滤即被直接渲染到网页HTML响应中。攻击者可以构造包含恶意JavaScript代码的Payload并提交给服务器。鉴于CVSS向量中PR:H（高权限）的要求，利用该漏洞通常需要攻击者具备一定的系统访问权限，或者针对具有高权限的管理员用户进行特定的交互诱导。一旦受害者触发了该恶意载荷，脚本将在其浏览器上下文中执行。攻击者利用此漏洞可窃取敏感的会话凭证、篡改页面内容或进行钓鱼攻击，从而破坏数据的完整性。