CVE-2026-46364: phpMyFAQ - Injeção de SQL via cabeçalho User-Agent no BuiltinCaptcha

Visão geral

A CVE-2026-46364 afeta o phpMyFAQ anterior à versão 4.1.2. A falha é uma injeção de SQL na classe BuiltinCaptcha, especificamente nos métodos garbageCollector() e saveCaptcha(), que inserem valores do cabeçalho de requisição User-Agent em instruções DELETE e INSERT sem sanitização adequada. O registro classifica a fraqueza como CWE-89 (Injeção de SQL).

Impacto

Segundo a descrição do registro, a falha pode ser alcançada sem autenticação pelo endpoint público GET /api/captcha. O registro indica que isso poderia permitir injeção de SQL cega baseada em tempo e a extração de dados sensíveis, como credenciais de usuários, tokens de administrador e credenciais SMTP. A VulnCheck atribui pontuação base CVSS 3.1 de 9,8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e os campos SSVC do registro indicam exploração automatizável e impacto técnico total.

Produtos e versões afetadas

• Produto: Thorsten phpMyFAQ
• Faixa afetada no registro: versões anteriores à 4.1.2
• Versão corrigida: não listada explicitamente no registro; o limite superior da faixa afetada sugere que a 4.1.2 seja a primeira versão corrigida, o que deve ser confirmado no aviso do fabricante.

Status de exploração

O campo do catálogo KEV no registro é falso, portanto esta CVE não consta na lista KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS de 0,0212 (percentil 0,81387) é uma estimativa estatística e não é evidência de exploração. O campo de exploração SSVC está registrado como none.

Correção e mitigação

• Atualize o phpMyFAQ para a versão 4.1.2 ou posterior, já que a faixa afetada indica ser esta a primeira versão corrigida.
• Revise o aviso do fabricante e o commit de correção indicados abaixo para confirmar o escopo da correção antes da implantação.
• Restrinja ou monitore o acesso público ao endpoint de captcha enquanto as atualizações são programadas, por exemplo com regras de firewall de aplicação web ou proxy reverso.
• Limite a conta de banco de dados usada pelo phpMyFAQ aos privilégios estritamente necessários, reduzindo o alcance de uma eventual injeção.
• Se houver suspeita de exposição, renove senhas de usuários, tokens de administrador e credenciais SMTP armazenados no banco da aplicação.

Orientações de detecção

• Analise os logs do servidor web e da aplicação em busca de requisições ao /api/captcha com valores de User-Agent incomumente longos, malformados ou fora do padrão.
• Observe padrões anormais de tempo de resposta no endpoint de captcha, já que o registro descreve uma técnica baseada em tempo.
• Audite os logs do banco de dados em busca de instruções DELETE ou INSERT inesperadas originadas do componente de captcha.
• Verifique alterações não explicadas em contas de usuários, tokens de administrador ou configurações SMTP.

Limitações das informações disponíveis

O registro não lista explicitamente uma versão corrigida, e o campo de correções está vazio. O commit marcado como correção e o aviso do fabricante são referenciados, mas esta análise não verificou o conteúdo deles. O registro não informa se existe código de prova de conceito público, nem se alguma implantação foi comprometida. Esses pontos permanecem desconhecidos.

Perguntas frequentes

Quais versões do phpMyFAQ são afetadas pela CVE-2026-46364?

O registro lista as versões do phpMyFAQ anteriores à 4.1.2 como afetadas. A atualização para a 4.1.2 ou posterior é a principal medida de correção.

A CVE-2026-46364 é conhecida por ser explorada ativamente?

O registro indica que a CVE não consta na lista KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.