NVD / CVE Program· CNA GitHub_M

CVE-2026-56738: phpMyFAQ has SQL Injection in `StopWords::add()` — Unescaped Stop Word Insertion

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 34/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,26% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Требуются права администратора. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: phpmyfaq/phpmyfaq (Packagist) 4.1.6; thorsten/phpmyfaq (Packagist) 4.1.6.

Пока низкий приоритет. Обновитесь до phpmyfaq/phpmyfaq (Packagist) 4.1.6; thorsten/phpmyfaq (Packagist) 4.1.6 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

phpMyFAQ is an open source FAQ web application. The `StopWords::add()` method inversions prior to 4.1.6 builds a SQL `INSERT` statement using `sprintf()` and inserts the user-supplied stop word value directly into the query string without calling the application's database escaping function on it. A sibling method, `StopWords::update()`, which modifies an existing stop word, correctly escapes the same kind of input. The omission is isolated to the `add()` (insert) code path. An authenticated administrator who can reach the stop-word management feature can submit a crafted value as the "word" parameter that breaks out of the SQL string literal and injects arbitrary SQL, including statements to drop tables, exfiltrate data, or modify other rows in the database. Version 4.1.6 fixes the issue.

ВысокаяCVSS 8.5 · v4.0—Эксплойта нет Есть исправление

SQL-инъекция

Опубликовано: 24 сент. 2026 г.
Обновлено: 5 окт. 2026 г.
EPSS: 0,2 % · 17-й процентиль
CWE: CWE-89

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 34 / 40 · 8.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,2 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · GitHub_M: 8,5; NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

—

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

thorsten phpMyFAQ
- < 4.1.6затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Packagist	phpmyfaq/phpmyfaq	до 4.1.6	4.1.6
Packagist	thorsten/phpmyfaq	до 4.1.6	4.1.6

Тот же продукт

thorsten: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-46364phpMyFAQ - SQL Injection via User-Agent Header in BuiltinCaptcha
38Наблюдать
CVE-2026-111911phpMyFAQ 4.0.0 before 4.1.9 Authentication Bypass via WebAuthn Credential Injection
37Наблюдать
CVE-2026-66398phpMyFAQ before 4.1.6 Remote Code Execution via Configuration API
37Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2026-4713224 сент. 2026 г. · phpMyFAQ: SQL LIKE Wildcard Injection in Chat User Search Allows Authenticated User Enumeration
21Наблюдать
← РаньшеCVE-2026-5673724 сент. 2026 г. · phpMyFAQ's two-factor authentication login bypasses the password factor
32Наблюдать
Позже →CVE-2026-10885111 окт. 2026 г. · phpMyFAQ through 4.1.10 Missing Authorization via MCP Server faq_search Tool
19Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Packagist:phpmyfaq/phpmyfaq	4.1.6	Реестр пакетов (OSV)
Packagist:thorsten/phpmyfaq	4.1.6	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

thorsten/phpMyFAQкоммит d56ef5d

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-46364с разницей 132 дн.phpMyFAQ - SQL Injection via User-Agent Header in BuiltinCaptcha
38Наблюдать
CVE-2026-109573с разницей 18 дн.phpMyFAQ before 4.1.9 SQL Injection via api/autocomplete Search Endpoint
36Наблюдать
CVE-2026-46359с разницей 132 дн.phpMyFAQ - SQL Injection in CurrentUser::setTokenData via Unescaped OAuth Token Fields
30Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

CVE-2026-111911с разницей 23 дн.phpMyFAQ 4.0.0 before 4.1.9 Authentication Bypass via WebAuthn Credential Injection
37Наблюдать
CVE-2026-111882с разницей 23 дн.phpMyFAQ 3.2.0-alpha before 4.1.9 and 4.2.0-alpha before 4.2.0-beta TOTP 2FA Bypass via SSO Callbacks
34Наблюдать
CVE-2026-56737с разницей 0 дн.phpMyFAQ's two-factor authentication login bypasses the password factor
32Наблюдать
CVE-2026-111895с разницей 23 дн.phpMyFAQ 3.2.0 before 4.0.0 and 4.0.2 before 4.2.0-beta Account Takeover via Entra ID preferred_username
30Наблюдать

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Требуются права администратора.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность
Целостность
Доступность

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Высокие
Взаимодействие с пользователем: Не требуется
Область действия: X

Класс уязвимости (CWE)

CWE-89 · Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')

Вектор CVSS

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Первопричина

Текст запроса формируется конкатенацией с пользовательским вводом. СУБД не может определить, где заканчиваются данные и начинается команда.

Ошибка в коде

Весь класс CWE-89

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1const owner = req.query.owner;
2const rows = await db.query(
3  "SELECT * FROM files WHERE owner = '" + owner + "'"
4);

Исправленный код

1const owner = req.query.owner;
2const rows = await db.query(
3  "SELECT * FROM files WHERE owner = $1",
4  [owner]
5);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений

Эксплуатация SSVC— → none5 окт. 2026 г., 17:07 UTC
Исправление✗ → ✓28 сент. 2026 г., 22:45 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

github.com/thorsten/phpMyFAQ/commit/d56ef5d75c3c007de095bc4c13b470c7ac783f0f

Показать все источники (ещё 1)

github.com/thorsten/phpMyFAQ/security/advisories/GHSA-rw77-vq4g-x3hp

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: GitHub_M

CVE.org (CNA)5 окт. 2026 г., 15:33 UTC
CISA ADP5 окт. 2026 г., 15:33 UTC
NVD5 окт. 2026 г., 16:17 UTC
FIRST EPSS2 нояб. 2026 г., 00:00 UTC
OSV / GHSA3 нояб. 2026 г., 03:17 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.