PT-2025-51967 · Phpmyfaq · Phpmyfaq

Mirabbas Ağalarov · Publicado 2025-12-17 · Atualizado 2025-12-20 · CVE-2023-53929

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versão 3.1.12

Descrição O software contém uma falha de injeção de CSV que permite que usuários autenticados injetem fórmulas maliciosas em seus nomes de perfil. Um atacante pode modificar o nome de seu perfil de usuário com um payload como 'calc|a!z|' para acionar a execução de código quando um administrador exporta os dados do usuário como um arquivo CSV.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida temporária, restrinja os caracteres permitidos nos nomes de perfil de usuário para prevenir a injeção de fórmulas maliciosas.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

CVE-2023-53929

GHSA-X2V3-9P22-W3X6

Produtos afetados

Phpmyfaq

Referências · 11

• 🔥 https://exploit-db.com/exploits/51399 · Exploit
• https://github.com/thorsten/phpMyFAQ · Nota
• https://twitter.com/VulmonFeeds/status/2001636623147012250 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2001437189876375663 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2002487777234203109 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-53929 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-53929 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-x2v3-9p22-w3x6 · Aviso do Fabricante
• https://t.me/CVEtracker/40085 · Publicação no Telegram
• https://phpmyfaq.de · Nota
• https://vulncheck.com/advisories/phpmyfaq-csv-injection-via-user-profile-export · Nota