CVE-2026-73628 in Serendipity
Riassunto
di VulDB • 13/08/2026
Le versioni di Serendipity >= 2.3.5 e <= 2.6.0 presentano una vulnerabilità cross-site scripting (XSS) riflessa nel route clean-URL della ricerca (/search/<term>). In include/functions_routing.inc.php, la funzione serveSearch() esegue il pipeline di sanitizzazione chiamando urldecode() dopo l'HTML-encoding; pertanto, un payload HTML codificato in URL sopravvive a strip_tags() e htmlspecialchars(), per poi essere decodificato nuovamente come HTML attivo nella pagina. Un link di ricerca appositamente creato può eseguire codice JavaScript arbitrario nel browser della vittima. Risolto nella versione 2.6.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.