CVE-2026-46367
WysokieStreszczenie
phpMyFAQ przed wersją 4.1.2 zawiera podatność na przechowywane ataki typu cross-site scripting w funkcji Utils::parseUrl(). Umożliwia to uwierzytelnionym użytkownikom wstrzykiwanie JavaScriptu za pomocą źle sformatowanych URL-i w komentarzach.
Ocena ryzyka
Atakujący mogą stworzyć URL-e z nieescapowanymi cudzysłowami, co pozwala na kradzież ciasteczek sesyjnych administratora i przejęcie pełnej kontroli nad aplikacją, gdy odwiedzający przeglądają dotknięte strony FAQ.
Rekomendacja
Zaleca się aktualizację phpMyFAQ do wersji 4.1.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wprowadzić walidację i sanitizację danych wejściowych w komentarzach.
Oryginalny opis (angielski, źródło NVD)
phpMyFAQ before 4.1.2 contains a stored cross-site scripting vulnerability in Utils::parseUrl() that allows authenticated users to inject JavaScript via malformed URLs in comments. Attackers can craft URLs with unescaped quotes to inject event handlers, stealing admin session cookies and achieving full application takeover when visitors view affected FAQ pages.