CVE-2026-9485SourceCodester Student Grades Management System 1.0版本存在跨站脚本漏洞。攻击者可利用`students.php`文件中`Remarks`参数的过滤缺失，注入恶意脚本。该漏洞需低权限及用户交互触发，可能影响系统完整性，目前利用代码已公开。
该漏洞源于SourceCodester Student Grades Management System 1.0在处理学生成绩备注信息时缺乏必要的安全防护机制。具体而言，在`students.php`文件中，程序直接接收并展示用户提交的`Remarks`参数，未进行有效的输入清洗或输出转义。这使得攻击者能够构造包含恶意JavaScript或HTML代码的Payload（如`<script>alert(1)</script>`）。攻击者可利用社会工程学手段诱导低权限用户访问受污染的链接或页面。由于漏洞需要用户交互（UI:R），恶意代码仅在受害者浏览器渲染该页面时执行。攻击者可借此窃取用户会话凭证、篡改页面内容或执行客户端攻击，导致系统完整性受损。