CVE-2026-41466ProjeQtor 7.0至12.4.3版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于Security.php文件中的checkValidHtmlText()函数未能正确过滤用户输入，仅检测特定模式而未对输出进行编码。攻击者可利用替代语法（如带有事件处理程序的img标签）绕过过滤器，注入恶意载荷，导致查看受影响内容的用户浏览器中执行恶意脚本。
该漏洞的核心在于ProjeQtor的输入验证机制存在逻辑缺陷。Security.php中的checkValidHtmlText()函数试图通过检测特定模式来清理HTML内容，但其过滤规则不完整。当输入内容不匹配其预设的恶意特征时，函数会直接返回未经实体编码的原始字符串。攻击者可以利用这一盲点，构造使用img标签配合事件处理器（如onerror）的Payload。由于这种特定的HTML结构可能未被函数的黑名单覆盖，Payload成功存入数据库。当管理员或其他用户访问包含该数据的页面时，浏览器解析HTML并触发事件，导致恶意JavaScript代码在受害者上下文中执行。