← 戻る
CVE-2026-46367
high
CVSS 7.6
Duplicate Advisory: phpMyFAQ: Stored XSS via Utils::parseUrl() in comment rendering
概要
Duplicate Advisory: phpMyFAQ: Stored XSS via Utils::parseUrl() in comment rendering
AI要約 openai / gpt-4o
phpMyFAQ 4.1.2未満のバージョンには、Utils::parseUrl()における保存型クロスサイトスクリプティングの脆弱性が存在します。認証済みユーザーが不正なURLをコメントに挿入することでJavaScriptコードを注入でき、管理者のセッションCookieを盗むなどの攻撃が可能です。
❓ 何が問題か
phpMyFAQのUtils::parseUrl()における保存型クロスサイトスクリプティング脆弱性。
📍 影響範囲
phpMyFAQ 4.1.2未満のバージョン。
🔥 重要度
攻撃者はJavaScriptを注入し、管理者のセッションを奪取可能。高い影響度。
🔧 修正方法
phpMyFAQを4.1.2以降にアップデートする。
🛡️ 暫定回避
情報なし
🔍 検知方法
アプリケーションログで不審なスクリプトの挿入を確認する。
影響パッケージ
composer
phpMyFAQ/phpMyFAQ
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
composer
phpMyFAQ
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
Packagist
phpMyFAQ/phpMyFAQ
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
Packagist
phpMyFAQ
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
composer
thorsten/phpmyfaq
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
Packagist
thorsten/phpmyfaq
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
参照URL
- advisory https://nvd.nist.gov/vuln/detail/CVE-2026-46367
- package https://github.com/thorsten/phpMyFAQ
- web https://github.com/thorsten/phpMyFAQ/security/advisories/GHSA-9525-27vj-c8r8
- web https://www.vulncheck.com/advisories/phpmyfaq-stored-xss-via-utils-parseurl-in-comment-rendering
- web https://github.com/advisories/GHSA-w42g-jj8w-fj77
- web https://github.com/advisories/GHSA-9525-27vj-c8r8