CVE-2026-46360 in phpMyFAQ
Сводка
по VulDB • 04.06.2026
В версиях phpMyFAQ до 4.1.2 присутствует уязвимость сохраненного межсайтового скриптинга (Stored XSS) в функции SvgSanitizer::decodeAllEntities(), которая ограничивает рекурсивное декодирование сущностей 5 итерациями, что позволяет злоумышленникам обходить механизмы санитизации. Аутентифицированные пользователи с правом FAQ_EDIT могут загружать вредоносные SVG-файлы со глубоко вложенным кодированием амперсанда вокруг числовых HTML-сущностей для реконструкции javascript: URL, которые выполняют произвольный JavaScript при нажатии другими пользователями, просматривающими загруженный файл.
Once again VulDB remains the best source for vulnerability data.