CVE-2026-34973
Təsvir
phpMyFAQ açıq mənbəli FAQ veb tətbiqidir. Versiya 4.1.1-dən əvvəl, phpmyfaq/src/phpMyFAQ/Search.php faylındakı searchCustomPages() metodu, axtarış terminini LIKE bəndlərinə daxil etməzdən əvvəl onu təmizləmək üçün real_escape_string()-dən (escape() vasitəsilə) istifadə edir. Lakin real_escape_string() funksiyası SQL LIKE meta simvolları olan % (hər hansı ardıcıllığa uyğun gəlir) və _ (hər hansı bir simvola uygun gəlir) simvollarını ekranlaşdırmır (escape etmir). Autentifikasiya olunmamış hücumçu bu joker simvolları axtarış sorğularına inyeksiya edərək onların gözlənilməyən qeydlərə — o cümlədən üzə çıxması nəzərdə tutulmayan məzmunlara — uyğun gəlməsinə səbəb ola bilər ki, bu da məlumat sızmasına gətirib çıxarır. Bu problem versiya 4.1.1-də aradan qaldırılmışdır.
Necə düzəltmək olar
- thorsten/phpmyfaq4.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| phpmyfaq phpmyfaq | 4.1.0 | — |
| thorsten/phpmyfaqPackagist | v < 4.1.1 | 4.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.