CVE-2026-47132

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões anteriores a 4.2.0-alpha

Description Uma injeção de curinga SQL LIKE autenticada existe na funcionalidade de pesquisa de usuários do chat. Este problema permite que qualquer usuário logado ignore o filtro de pesquisa de nome de exibição pretendido e enumere usuários ativos, potencialmente revelando identidades de usuários internos, nomes de funcionários ou nomes de departamentos. Embora a aplicação escape a sintaxe de string SQL, ela falha ao escapar os caracteres % e , que o banco de dados interpreta como curingas LIKE ativos. O problema ocorre no endpoint '/api/chat/users' através do parâmetro q, especificamente dentro da função searchUsers().

Recommendations Atualize o phpMyFAQ para a versão 4.2.0-alpha. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/chat/users' ou evite usar o parâmetro q neste endpoint até que a atualização seja aplicada.