PT-2026-35445 · Projeqtor · Projeqtor

Noé Susset + 1 · Publicado 2026-04-27 · Atualizado 2026-04-27 · CVE-2026-41466

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas ProjeQtor versões 7.0 a 12.4.3

Descrição Um problema de cross-site scripting armazenado existe na função checkValidHtmlText() dentro do arquivo Security.php. A função não sanitiza adequadamente a entrada do usuário porque detecta apenas padrões específicos e retorna strings não sanitizadas sem codificação de saída. Isso permite que atacantes injetem cargas maliciosas usando sintaxes alternativas, como tags img com manipuladores de eventos, que são então armazenadas e executadas nos navegadores dos usuários que visualizam o conteúdo afetado.

Recomendações Atualize para a versão 12.4.4. Como medida paliativa temporária, restrinja o acesso à função checkValidHtmlText() no Security.php para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-41466

Produtos afetados

Projeqtor

Referências · 8

• 🔥 https://gryfman.fr/cves/CVE-2026-41466 · Exploit
• 🔥 https://damiri.fr/en/cves/CVE-2026-41466 · Exploit
• https://twitter.com/CVEnew/status/2048852147354177818 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41466 · Nota de Segurança
• https://projeqtor.com · Nota
• https://twitter.com/VulmonFeeds/status/2048829876820430861 · Publicação no Twitter
• https://vulncheck.com/advisories/projeqtor-stored-xss-via-checkvalidhtmltext · Nota
• https://t.me/CVEtracker/51960 · Publicação no Telegram