CVE-2021-47947Projectsend r1295版本存在存储型跨站脚本（XSS）漏洞。该漏洞源于files-edit.php中的'name'参数缺乏有效的输入过滤和输出编码。经过身份验证的攻击者可以通过提交包含恶意脚本的文件名，将JavaScript载荷注入到数据库中。当系统管理员或其他用户在仪表盘页面查看受影响的文件时，恶意脚本将在其浏览器中自动执行，从而导致会话劫持或敏感信息泄露。
该漏洞属于存储型跨站脚本（Stored XSS）。在Projectsend r1295版本中，应用程序在处理文件上传或编辑（files-edit.php）时，未对用户输入的文件名（'name'参数）进行严格的HTML实体编码。攻击者利用低权限账户，可以在文件编辑功能中提交特制的文件名（例如`<script>alert(1)</script>`）。该恶意载荷被持久化存储在服务器端。当具有更高权限的用户（如系统管理员）访问管理后台的Dashboard页面时，应用程序会从数据库读取文件名并直接渲染到HTML页面中，未经过转义处理。这导致攻击者的恶意脚本在受害者的浏览器上下文中执行，从而可能利用管理员权限执行任意操作。