phpMyFAQ: SQL-Injection über den Suchparameter von api/autocomplete

Zusammenfassung

phpMyFAQ vor 4.1.9 verwendet eine fehlerhafte Escape-Funktion (PdoMysql::escape()), die versagt, wenn MySQL oder MariaDB im SQL-Modus NO_BACKSLASH_ESCAPES läuft. Ein nicht authentifizierter Angreifer kann im Suchparameter von api/autocomplete ein speziell gestaltetes Unicode-Anführungszeichen senden, das in ein ASCII-Anführungszeichen umgewandelt wird und die SQL-Anweisung durchbricht. Erfolgreiche Ausnutzung erlaubt das Lesen von Zugangsdaten und Konfigurationsgeheimnissen, das Verändern von Datensätzen oder das Löschen von Tabellen. Der Angriff funktioniert nur, wenn die Datenbank in diesem nicht standardmässigen SQL-Modus betrieben wird.

Betroffen

• phpMyFAQ 0 bis vor 4.1.9
• phpMyFAQ 4.2.0-alpha bis vor 4.2.0-beta
• Voraussetzung: MySQL oder MariaDB mit aktiviertem SQL-Modus NO_BACKSLASH_ESCAPES
• Hinweis: Die GitHub Advisory Database gibt die betroffenen Versionen als unbekannt an; in der Herstellerwarnung prüfen.

Behoben in

• Auf phpMyFAQ 4.1.9 oder neuer aktualisieren
• Für die Linie 4.2 auf 4.2.0-beta oder neuer aktualisieren
• Zusätzlich auf mindestens 4.1.2 aktualisieren, um CVE-2026-46364 zu adressieren

Umgehung

• Kein Workaround des Herstellers bekannt.
• Prüfen, ob sql_mode auf dem Datenbankserver NO_BACKSLASH_ESCAPES enthält; ohne diesen Modus ist die beschriebene Bedingung nicht erfüllt (nicht vom Hersteller bestätigt).
• Zugriff auf api/autocomplete am Reverse Proxy oder WAF einschränken, bis gepatcht wurde (generische Massnahme, keine dokumentierte Herstellerlösung).

Ausnutzung

• CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: nein, technische Auswirkung: total.
• Nicht in der CISA-KEV-Liste.
• EPSS etwa 0.34% (laut cvedetails, unter Verweis auf VulnCheck).
• Eine Drittquelle beschreibt den Mechanismus und enthält PoC-Material; nicht verifiziert.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle phpMyFAQ-Instanzen inventarisieren, auch jene aus Webhosting-Paketen.
• Auf 4.1.9 oder neuer aktualisieren (und mindestens 4.1.2 für CVE-2026-46364).
• Auf jeder Instanz sql_mode der Datenbank auf NO_BACKSLASH_ESCAPES prüfen.
• Bei internetfähigen Instanzen den Zugriff auf api/autocomplete einschränken, bis gepatcht wurde.
• War eine internetfähige Instanz ungepatcht, Datenbank-Zugangsdaten rotieren und Logs auf verdächtige Anfragen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-98p2-cg7p-h385 github.com
• VulnCheck advisory www.vulncheck.com
• OSV CVE-2026-109573 osv.dev
• GitHub Advisory Database GHSA-2v8j-hf72-c5w9 github.com
• Strix CVE-2026-109573 www.strix.ai
• CVE-2026-46364 (SentinelOne) www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:40.