phpMyFAQ: Geauthenticeerde SQL-injectie in beheer van stopwoorden (CVE-2026-56738)

Wat is er gebeurd

Er is een SQL-injectiekwetsbaarheid vastgesteld in de methode `StopWords::add()` van phpMyFAQ. Deze methode bouwt een SQL `INSERT`-statement op met `sprintf()` en plaatst de door de gebruiker opgegeven stopwoordwaarde direct in de querystring, zonder de database-escapingfunctie van de applicatie toe te passen. Een vergelijkbare methode, `StopWords::update()`, die een bestaand stopwoord aanpast, escaped dezelfde soort invoer wél correct. De fout is dus beperkt tot het invoegpad (add).

Technische oorzaak

De oorzaak is onjuiste neutralisatie van speciale tekens in een SQL-commando (CWE-89). Omdat de methode `add()` de parameter "word" niet escaped voordat deze in de SQL-string wordt ingevoegd, kan een zorgvuldig samengestelde waarde uit de bedoelde string-literal breken, waardoor een aanvaller willekeurige SQL-statements aan de query kan toevoegen.

Waarom dit belangrijk is

Een aanvaller die via dit pad willekeurige SQL kan injecteren, kan databasetabellen verwijderen, data buitmaken of andere rijen in de database aanpassen. Dit kan de vertrouwelijkheid en integriteit van de volledige database van de phpMyFAQ-installatie in gevaar brengen.

Wie wordt hierdoor getroffen

Misbruik vereist een geauthenticeerd beheerdersaccount met toegang tot de functie voor stopwoordenbeheer in phpMyFAQ. Dit is geen ongeauthenticeerde, op afstand uitbuitbare kwetsbaarheid; de aanvaller (of een gecompromitteerd beheerdersaccount) moet al over beheerdersrechten binnen de applicatie beschikken.

Getroffen versies

De kwetsbaarheid treft de Composer-pakketten `phpmyfaq/phpmyfaq` en `thorsten/phpmyfaq` in versies tot en met 4.1.5. Versie 4.1.6 bevat de oplossing.

Oplossingen en mitigatie

De leverancier heeft versie 4.1.6 uitgebracht, waarin de ontbrekende escaping in de methode `StopWords::add()` is gecorrigeerd. Beheerders van getroffen versies wordt aangeraden te upgraden naar 4.1.6.

Aanbevolen actie

Werk phpMyFAQ zo snel mogelijk bij naar versie 4.1.6. Beperk in de tussentijd de toegang tot het beheerdersaccount tot vertrouwde gebruikers, aangezien misbruik een geauthenticeerd beheerdersaccount met toegang tot het stopwoordenbeheer vereist.