FICHE CVE

CVE-2026-85593

Publiée le 2026-09-04 · Dernière modification le 2026-09-04

🇫🇷 EN BREF

Les versions de phpMyFAQ antérieures à la 4.1.8 sont affectées par une faille qui permet à un utilisateur disposant de permissions d'édition de FAQ d'intégrer du JavaScript malveillant dans une page. Tout utilisateur visitant ensuite cette page verra le script s'exécuter dans son navigateur, ce qui pourrait être utilisé pour voler des cookies de session ou rediriger les utilisateurs. Cette attaque nécessite un compte connecté avec des privilèges d'édition et dépend de la visite de la page compromise par d'autres utilisateurs.

CVSS 4.05.1 MOYENNE

Type de faiblesse

Cross-site scripting (XSS) · CWE-79

Publiée2026-09-04

Dernière modification2026-09-04

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

phpMyFAQ versions before 4.1.8 contain a stored cross-site scripting vulnerability in FaqHelper::convertOldInternalLinks() that calls html_entity_decode() on sanitized FAQ content, reversing entity-encoding protection. Authenticated users with FAQ editing privileges can inject JavaScript payloads that execute in the browsers of all users viewing the affected FAQ pages.