PT-2026-78394
CVE-2026-76212
·
تاريخ النشر
2026-08-19
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات phpMyFAQ السابقة للإصدار 4.1.7
الوصف
عند تهيئة البرنامج لاستخدام PostgreSQL عبر ملحق pgsql الأصلي لـ PHP، يُعلن البرنامج عن حرف LIKE ESCAPE غير صحيح (’=‘) في الخلفية Search/Database/Pgsql.php، في حين أن الدالة
escapeLikeWildcards() تقوم بتحويل مدخلات المستخدم باستخدام البادئة ’|‘. يؤدي هذا التناقض إلى عدم فعالية تحويل أحرف البدل، مما يسمح لأحرف % و التي يدخلها المستخدم بالبقاء نشطة كأحرف بدل في LIKE. يمكن لمهاجم غير مصدق استخدامهما في نموذج البحث العام في قسم الأسئلة الشائعة (FAQ) لإحداث مطابقات أنماط واسعة النطاق وعمليات مسح متسلسلة مكلفة، مما يؤدي إلى رفض الخدمة. لا تسمح هذه المشكلة بحقن SQL أو تسريب البيانات، حيث تظل علامات الاقتباس محمية.التوصيات
تحديث phpMyFAQ إلى الإصدار 4.1.7 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾