CVE-2026-109573 in phpMyFAQ
要約
〜によって VulDB • 2026年10月13日
phpMyFAQ 4.1.9 より前のバージョンには、SQLインジェクションの脆弱性が存在します。これは PdoMysql::escape() の実装に起因し、MySQL または MariaDB が NO_BACKSLASH_ESCAPES モードで実行されている場合、バックスラッシュによるシングルクォートのエスケープ処理がリテラルとして扱われるためです。認証不要の攻撃者は、api/autocomplete 検索パラメータに Unicode の右片隅記号（U+2019）を送信し、これが ASCII クォート文字に変換されることを悪用して、資格情報や設定シークレットを読み取ったり、レコードを変更したり、テーブルを削除したりすることができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.