What is CVE-2026-76212?
In phpMyFAQ versions before 4.1.7 configured with the native pgsql PHP extension for PostgreSQL, a mismatched LIKE ESCAPE character ('=') in the Search/Database/Pgsql.php backend renders wildcard escaping ineffective because escapeLikeWildcards() uses the '|' prefix. This vulnerability allows unauthenticated users to perform LIKE wildcard-based injection attacks against the database via the search functionality. Upgrading to version 4.1.7 or later is strongly recommended.
Azərbaycanca: phpMyFAQ-un 4.1.7-dən əvvəl versiyalar, PostgreSQL `pgsql` genişlənməsi ilə konfiqurasiya edildikdə, `LIKE ESCAPE` simvolunun səhvən '=' kimi təyin edilməsi səbəbindən wildcard qaçırma əməliyyatı işləmir. Bu zəiflik autentifikasiyasız istifadəçilərə axtarış funksionallığı vasitəsilə verilənlər bazasına `LIKE` wildcard əsaslı injection hücumları etməyə imkan verir. phpMyFAQ-u 4.1.7 və ya daha yuxarı versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-89
FAQ1
Where is the CVE-2026-76212 vulnerability located and what impact does it have?
The vulnerability is located in the Search/Database/Pgsql.php file of phpMyFAQ versions before 4.1.7 when configured with the native pgsql PHP extension for PostgreSQL. Due to a mismatched LIKE ESCAPE character, unauthenticated users can perform LIKE wildcard-based injection attacks against the database via the search functionality.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.