CVE-2026-56736 in PhpMyfaq
Riassunto
di VulDB • 24/09/2026
phpMyFAQ è un'applicazione web open source per la gestione delle FAQ. Una vulnerabilità di cross-site scripting (XSS) memorizzato nelle versioni precedenti alla 4.2.0-alpha consente a qualsiasi utente non autenticato (o a un utente registrato con privilegi ridotti) di iniettare JavaScript arbitrario che viene eseguito nel browser dell'amministratore quando questi rivede o modifica una voce FAQ inviata da un utente. Ciò porta al takeover dell'account amministrativo tramite furto della sessione. La vulnerabilità esiste perché `html_entity_decode()` converte le entità HTML in HTML eseguibile dopo che `strip_tags()` le ha già elaborate, e il template per l'amministratore visualizza i contenuti utilizzando il filtro Twig `|raw` senza alcuna sanificazione dell'output. La versione 4.2.0-alpha risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.