CVE-2026-41466: fallo de gravedad media en ProjeQtor
ProjeQtor < 12.4.4 Stored XSS via checkValidHtmlText()
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
33Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 5.1epss 0.2%
ProjeQtor versions 7.0 through 12.4.3 contain a stored cross-site scripting vulnerability in the checkValidHtmlText() function within Security.php that fails to properly sanitize user input by only detecting specific patterns while returning unsanitized strings without output encoding. Attackers can inject malicious payloads that bypass the filter using alternative syntax such as img tags with event handlers, which are stored and executed in the browsers of users viewing the affected content.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
Productos afectados
ProjeQtor · ProjeQtorPoCs públicas encontradas — 2
cve_referencedamiri.fr/en/cves/CVE-2026-41466no verificadocve_referencegryfman.fr/cves/CVE-2026-41466no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — ProjeQtor
En el mismo producto, de las más peligrosas a las menos.
CVE-2026-41463HIGHProjeQtor < 12.4.4 ZipSlip Path Traversal via uploadPlugin.phpEPSS 1.1%CVE-2026-41462CRITICALProjeQtor < 12.4.4 Unauthenticated SQL Injection via LoginEPSS 0.6%CVE-2026-41465HIGHProjeQtor < 12.4.4 Path Traversal via dynamicDialog.phpEPSS 0.5%CVE-2026-41464HIGHProjeQtor < 12.4.4 Missing Authorization via objectDetail.phpEPSS 0.3%CVE-2026-41467MEDIUMProjeQtor < 12.4.4 Stored XSS via checkValidFileName()EPSS 0.2%