CVE-2026-94668 Salon booking system 反射型 XSS 漏洞

Salon booking system（作者 Dimitri Grassi）存在反射型跨站脚本漏洞，源于网页生成过程中对用户输入未做正确中和处理。该漏洞影响 10.31.5 及之前版本，攻击者可通过构造恶意链接注入脚本。

影响范围

Salon booking system

Salon booking system 10.31.5 及更早版本（官方未给出明确起始版本，描述中标注 from n/a through 10.31.5）。

漏洞详情

漏洞类型为反射型 XSS（CWE-79），成因是应用在生成页面时未对用户可控输入进行充分的转义或过滤，导致输入被直接回显到响应页面中。攻击者可将恶意脚本嵌入 URL 参数或请求内容，诱导受害者点击后脚本在受害者浏览器上下文中执行。

利用条件与风险

利用需诱导受害者访问特制链接或提交恶意输入，属于典型社工触发场景；成功利用可窃取 Cookie、会话令牌或冒充用户操作，实战风险中等偏高。

修复建议

建议升级至 10.31.5 之后的修复版本；若暂无可用更新，可对用户输入实施严格转义与输出编码，并部署 WAF 过滤 XSS 载荷作为临时缓解。具体修复版本暂无公开信息。

Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in Dimitri Grassi Salon booking system salon-booking-system allows Reflected XSS.This issue affects Salon booking system: from n/a through 10.31.5.