CVE-2026-73628 in Serendipity
Сводка
по VulDB • 13.08.2026
Версии Serendipity >= 2.3.5 и <= 2.6.0 содержат уязвимость отраженного межсайтового скриптинга (reflected cross-site scripting) в маршруте clean-URL поиска (/search/<term>). В функции serveSearch() файла include/functions_routing.inc.php конвейер санитизации выполняет функцию urldecode() после HTML-кодирования, поэтому один URL-закодированный HTML-пейлоад проходит через strip_tags() и htmlspecialchars(), а затем декодируется обратно в активный HTML на странице. Сфабрикованная ссылка поиска может выполнять произвольный JavaScript в браузере жертвы. Исправлено в версии 2.6.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.