phpMyFAQ: Unkontrollierter Ressourcenverbrauch in FAQ- und Such-API (DoS)
Zusammenfassung
phpMyFAQ 4.2.0-alpha vor 4.2.0-beta erlaubt unauthentifizierten Angreifern aus dem Netzwerk, CPU und Arbeitsspeicher über die API-Endpunkte für FAQ-Auflistung und Suche zu erschöpfen. Die Endpunkte laden alle passenden Datenbankeinträge in den PHP-Speicher, bevor die Paginierung angewendet wird, sodass gleichzeitige GET-Anfragen den Server oder den PHP-FPM-Pool zum Absturz bringen können. Die Auswirkung beschränkt sich auf die Verfügbarkeit; es werden keine Datenabflüsse oder Codeausführung beschrieben. Der CVSS-4.0-Wert beträgt 8.7 (High), einige Bewertungen Dritter fallen tiefer aus.
Betroffen
- phpMyFAQ 4.2.0-alpha bis unter 4.2.0-beta (Bereich gemäss CNA)
- Das Herstellerdossier nennt betroffene Versionen unterhalb 4.2.0-alpha.2; den genauen Bereich im Dossier prüfen.
- Ältere Zweige wie 4.1.x sind in dieser CVE nicht als betroffen aufgeführt.
Behoben in
- Auf phpMyFAQ 4.2.0-beta oder neuer aktualisieren.
Umgehung
Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers identifiziert. Ratenbegrenzung für /api/v4.0/faqs und /api/v4.0/search auf einem Reverse Proxy oder WAF kann die Exposition verringern, ist aber keine Massnahme des Herstellers und muss zuerst getestet werden, da sie auch legitime Benutzer blockieren könnte.
Ausnutzung
- Nicht bekanntermassen ausgenutzt; nicht im CISA-KEV-Katalog aufgeführt.
- CISA-SSVC-Bewertung: Exploitation 'poc', automatisierbar 'yes', technische Auswirkung 'partial'.
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies gilt nicht als bestätigt nicht vorhanden.
Unsere Empfehlung
- Alle phpMyFAQ-Instanzen und deren genaue Versionen erfassen.
- Instanzen mit 4.2.0-alpha oder Vorabversionen von 4.2.0-beta auf die korrigierte Version aktualisieren.
- Vor dem Ausrollen das Herstellerdossier und die GitHub-Releases-Seite prüfen.
- Öffentlich erreichbare Instanzen bis zur Behebung auf ungewöhnliche Last oder wiederholte Anfragen an die API-Endpunkte überwachen.
- Weitere phpMyFAQ-Sicherheitskorrekturen im selben Veröffentlichungszeitraum prüfen, da das Update auch diese abdeckt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-m42f-6p37-2c79 github.com
- VulnCheck advisory: phpMyFAQ Unauthenticated DoS via API Pagination www.vulncheck.com
- VulDB CVE-2026-111901 vuldb.com
- Vulners CVE record (CVELIST) vulners.com
- HOL Guard CVE-2026-111901 hol.org
- EUVD-2026-103319 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.