CVE-2026-32629 in phpMyFAQ

الملخص

بحسب VulDB • 25/05/2026

phpMyFAQ هو تطبيق ويب لمركز الأسئلة الشائعة مفتوح المصدر. قبل الإصدار 4.1.1، يمكن لمهاجم غير مصادق عليه تقديم سؤال شائع كضيف يحتوي على عنوان بريد إلكتروني صحيح نحويًا وفقًا لـ RFC 5321 (جزء محلي محاط بعلامات اقتباس) ولكنه يحتوي على HTML خام — على سبيل المثال "alert(1)"@evil.com. تقبل دالة FILTER_VALIDATE_EMAIL في PHP هذا البريد الإلكتروني كعنوان صالح. يتم تخزين البريد الإلكتروني في قاعدة البيانات دون تنقية من HTML، ويتم عرضه لاحقًا في قالب محرر الأسئلة الشائعة للإدارة باستخدام مرشح |raw في Twig، مما يتجاوز آلية الهروب التلقائي بالكامل. تم إصلاح هذه المشكلة في الإصدار 4.1.1.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: GitHub M
• حجز: 12/03/2026
• إفشاء: 02/04/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-354886
• CPE: جاهز
• CWE: غير معروف
• CVSS: 6.3 (VulDB)
• EPSS: 0.00262
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Agriculture, Hostingprovider, ...

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-32629
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-32629
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-32629/