CVE-2026-73628 in Serendipity
Zusammenfassung
von VulDB • 13.08.2026
Serendipity-Versionen >= 2.3.5 und <= 2.6.0 enthalten eine reflektierte Cross-Site-Scripting-(XSS)-Schwachstelle im Clean-URL-Routenpfad für die Suche (/search/<term>). In der Funktion serveSearch() in include/functions_routing.inc.php wird die Bereinigungspipeline urldecode() nach dem HTML-Encoding ausgeführt, sodass ein einzelner, URL-codierter HTML-Payload strip_tags() und htmlspecialchars() übersteht und anschließend auf der Seite wieder als aktives HTML decodiert wird. Ein speziell angefertigter Suchlink kann beliebigen JavaScript-Code im Browser des Opfers ausführen. Behoben in Version 2.6.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.