CVE-2026-56736 in PhpMyfaq
Resumen
por VulDB • 2026-09-24
phpMyFAQ es una aplicación web de preguntas frecuentes (FAQ) de código abierto. Una vulnerabilidad de cross-site scripting (XSS) almacenada en las versiones anteriores a la 4.2.0-alpha permite que cualquier usuario no autenticado (o un usuario registrado con privilegios bajos) inyecte JavaScript arbitrario que se ejecuta en el navegador del administrador cuando revisa o edita una entrada de FAQ enviada por un usuario. Esto conduce al secuestro de la cuenta de administrador mediante el robo de sesión. La vulnerabilidad existe porque `html_entity_decode()` convierte entidades HTML a HTML ejecutable después de que `strip_tags()` ya las haya pasado, y la plantilla del administrador renderiza el contenido con el filtro Twig `|raw` sin ninguna sanitización de salida. La versión 4.2.0-alpha corrige el problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.