← Back
CVE-2026-46367
high
CVSS 7.6
Duplicate Advisory: phpMyFAQ: Stored XSS via Utils::parseUrl() in comment rendering
Summary
Duplicate Advisory: phpMyFAQ: Stored XSS via Utils::parseUrl() in comment rendering
AI summary openai / gpt-4o
phpMyFAQ 4.1.2未満のバージョンには、Utils::parseUrl()における保存型クロスサイトスクリプティングの脆弱性が存在します。認証済みユーザーが不正なURLをコメントに挿入することでJavaScriptコードを注入でき、管理者のセッションCookieを盗むなどの攻撃が可能です。
❓ What is the problem
phpMyFAQのUtils::parseUrl()における保存型クロスサイトスクリプティング脆弱性。
📍 Affected scope
phpMyFAQ 4.1.2未満のバージョン。
🔥 Severity
攻撃者はJavaScriptを注入し、管理者のセッションを奪取可能。高い影響度。
🔧 How to fix
phpMyFAQを4.1.2以降にアップデートする。
🛡️ Workaround
情報なし
🔍 Detection
アプリケーションログで不審なスクリプトの挿入を確認する。
Affected packages
composer
phpMyFAQ/phpMyFAQ
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
composer
phpMyFAQ
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
Packagist
phpMyFAQ/phpMyFAQ
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
Packagist
phpMyFAQ
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
composer
thorsten/phpmyfaq
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
Packagist
thorsten/phpmyfaq
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.2"}]}]
References
- advisory https://nvd.nist.gov/vuln/detail/CVE-2026-46367
- package https://github.com/thorsten/phpMyFAQ
- web https://github.com/thorsten/phpMyFAQ/security/advisories/GHSA-9525-27vj-c8r8
- web https://www.vulncheck.com/advisories/phpmyfaq-stored-xss-via-utils-parseurl-in-comment-rendering
- web https://github.com/advisories/GHSA-w42g-jj8w-fj77
- web https://github.com/advisories/GHSA-9525-27vj-c8r8