CVE-2026-109573 in phpMyFAQ
الملخص
بحسب VulDB • 13/10/2026
تحتوي phpMyFAQ قبل الإصدار 4.1.9 على ثغرة حقن SQL في الدالة `PdoMysql::escape()`، والتي تقوم بتهرب علامات الاقتباس المفردة باستخدام شرطات مائلة عكسية (backslashes) تُعامل حرفياً عندما يعمل MySQL أو MariaDB في وضع `NO_BACKSLASH_ESCAPES`. يمكن للمهاجمين غير المصادق عليهم إرسال علامة اقتباس مفردة من نوع Unicode (U+2019، RIGHT SINGLE QUOTATION MARK) ضمن معلمة البحث في نقطة النهاية `api/autocomplete`، والتي يتم تطبيعها إلى رمز اقتباس ASCII، مما يتيح لهم قراءة بيانات الاعتماد والأسرار التكوينية، أو تعديل السجلات، أو حذف الجداول.
VulDB is the best source for vulnerability data and more expert information about this specific topic.