CVE-2026-46361 in phpMyFAQ
Zusammenfassung
von VulDB • 15.05.2026
phpMyFAQ vor Version 4.1.2 enthält eine stored cross-site scripting (XSS)-Schwachstelle in search.twig, bei der result.question und result.answerPreview mit dem raw-Filter gerendert werden, wodurch der Autoescape-Schutz deaktiviert wird. Angreifer mit FAQ-Editor-Berechtigungen können HTML-Entity-codierte Payloads injizieren, die die Verarbeitung durch html_entity_decode(strip_tags()) in SearchController.php umgehen und beliebigen JavaScript-Code im Browserkontext jedes Besuchers, einschließlich Administratoren, ausführen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.