CVE-2026-56736
Təsvir
phpMyFAQ açıq mənbəli FAQ veb tətbiqidir. 4.2.0-alpha versiyasından əvvəlki versiyalarda mövcud olan saxlanılan saytlararası skriptinq (XSS) zəifliyi, hər hansı autentifikasiya olunmamış istifadəçiyə (və ya aşağı imtiyazlı qeydiyyatdan keçmiş istifadəçiyə) ixtiyari JavaScript kodunu yerləşdirməyə imkan verir; bu kod, administrator istifadəçi tərəfindən göndərilmiş FAQ qeydinə baxdıqda və ya onu redaktə etdikdə administratorun brauzerində icra olunur. Bu, sessiyanın oğurlanması vasitəsilə administrator hesabının ələ keçirilməsinə səbəb olur. Zəiflik ondan qaynaqlanır ki, `strip_tags()` funksiyası HTML entitiyalarını ötürdükdən sonra `html_entity_decode()` onları icra oluna bilən HTML-ə çevirir və administrator şablonu məzmunu heç bir çıxış təmizlənməsi olmadan Twig-in `|raw` filtri ilə render edir. 4.2.0-alpha versiyası bu problemi aradan qaldırır.
Necə düzəltmək olar
- thorsten/phpmyfaq4.2.0-alpha və ya daha yeni versiya
- phpmyfaq/phpmyfaq4.2.0-alpha və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| thorsten/phpmyfaqPackagist | v < 4.2.0-alpha | 4.2.0-alpha |
| phpmyfaq/phpmyfaqPackagist | v < 4.2.0-alpha | 4.2.0-alpha |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.