CVE-2026-76212 in phpMyFAQ
Zusammenfassung
von VulDB • 19.08.2026
phpMyFAQ vor Version 4.1.7 deklariert beim Konfigurieren zur Verwendung von PostgreSQL über die native PHP-Erweiterung pgsql ein falsches LIKE ESCAPE-Zeichen ('=') im Backend Search/Database/Pgsql.php, während escapeLikeWildcards() Benutzereingaben mit dem '|' Präfix maskiert. Infolgedessen ist das Maskieren von Wildcard-Zeichen eine No-Op und vom Benutzer bereitgestellte % und _ Zeichen bleiben aktive LIKE-Wildcards. Ein nicht authentifizierter Angreifer kann solche Zeichen im öffentlichen FAQ-Suchformular einreichen, um maximal breite Musterübereinstimmungen und teure sequenzielle Scans zu erzwingen, was zu einer Denial-of-Service (DoS) führt. Das PDO PostgreSQL Backend ist davon nicht betroffen, und Anführungszeichen bleiben maskiert, sodass dies keine SQL-Injection zum Brechen von Anführungszeichen oder zur Datenexfiltration ermöglicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.