Unknown · Serendipity · CVE-2026-73628
**Nome do Software Vulnerável e Versões Afetadas**
Serendipity versões 2.3.5 até 2.6.0
**Description**
Um problema de cross-site scripting refletido existe na rota de URL limpa de pesquisa '/search/<term>'. Dentro da função `serveSearch()` localizada em include/functions routing.inc.php, o processo de sanitização executa `urldecode()` após a codificação HTML. Essa sequência permite que um payload HTML codificado em URL ignore as funções `strip tags()` e `htmlspecialchars()`, sendo então decodificado de volta para HTML ativo na página. Um invasor pode usar um link de pesquisa manipulado para executar JavaScript arbitrário no navegador de uma vítima.
**Recommendations**
Atualize o Serendipity para a versão 2.6.1.