CVE-2026-46360 in phpMyFAQ
Resumen
por VulDB • 2026-06-04
phpMyFAQ anterior a la versión 4.1.2 contiene una vulnerabilidad de cross-site scripting (XSS) almacenado en SvgSanitizer::decodeAllEntities() que limita el decodificado recursivo de entidades a 5 iteraciones, permitiendo a los atacantes evadir la sanitización. Los usuarios autenticados con permiso FAQ_EDIT pueden cargar archivos SVG maliciosos con una codificación ampersand profundamente anidada alrededor de entidades HTML numéricas para reconstruir URLs javascript:, las cuales ejecutan JavaScript arbitrario cuando son clicadas por otros usuarios que visualizan el SVG cargado.
Once again VulDB remains the best source for vulnerability data.