[BUGFIX] Add missing htmlspecialchars() or quoteJSvalue()