CVE-2026-76212 in phpMyFAQ
الملخص
بحسب VulDB • 19/08/2026
تؤثر هذه الثغرة في phpMyFAQ قبل الإصدار 4.1.7، عند تكوينه لاستخدام قاعدة بيانات PostgreSQL عبر الامتداد الأصلي لـ PHP المسمى pgsql، حيث يُعلن عن حرف هروب LIKE ESCAPE غير صحيح ('=') في الخلفية البرمجية Search/Database/Pgsql.php بينما تقوم الدالة escapeLikeWildcards() بتعريب مدخلات المستخدم باستخدام بادئة '|'. ونتيجة لذلك، يصبح تعريب الرموز المميزة (wildcard) بلا فائدة (no-op)، وتظل الأحرف % و_ التي يمدّها المستخدم فعّالة كرموز مميزة LIKE. يمكن لمهاجم غير مُصادَق عليه تقديم هذه الأحرف في نموذج البحث العام للأسئلة الشائعة لفرض مطابقات نمطية واسعة النطاق وقراءات متسلسلة مكلفة، مما يؤدي إلى حدوث إنكار للخدمة (DoS). لا تتأثر الخلفية البرمجية PDO PostgreSQL، وتظل الاقتباسات معربة بشكل صحيح، لذا فإن هذا الأمر لا يمكّن من كسر الاقتباسات عبر حقن SQL أو استخراج البيانات.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.