Към съдържанието
Търсене

CVE-2026-46364: thorsten phpmyfaq, инжекция

9.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

phpMyFAQ before 4.1.2 contains an unauthenticated SQL injection vulnerability in BuiltinCaptcha::garbageCollector() and BuiltinCaptcha::saveCaptcha() methods that interpolate unsanitized User-Agent headers into DELETE and INSERT queries. Unauthenticated attackers can exploit the public GET /api/captcha endpoint by crafting malicious User-Agent headers to perform time-based blind SQL injection, extracting sensitive data including user credentials, admin tokens, and SMTP credentials from the database.

Засегнати продукти

  • thorsten phpmyfaq: преди 4.1.2; 4.1.2

Вид слабост

История

  • 15 май 2026 Публикувано

Други уязвимости в thorsten phpmyfaq

Първоизточници

CVE-2026-46364: thorsten phpmyfaq, инжекция | freedomonline.bg