CVE-2026-111908 in phpMyFAQ
Zusammenfassung
von VulDB • 17.10.2026
phpMyFAQ 4.0.0 vor 4.1.9 und 4.2.0-alpha vor 4.2.0-beta enthält eine fehlerhafte objektbasierte Autorisierungsschwachstelle (Broken Object-Level Authorization) im PUT /api/v3.1/faq/update-Endpunkt, der nur die globale edit_faq-Berechtigung prüft und nicht den Zugriff auf das Ziel-FQA überprüft. Authentifizierte Benutzer mit der Berechtigung edit_faq können die ID einer eingeschränkten FAQ angeben, auf die sie keinen Zugriff haben, um deren Inhalt zu ändern, die Moderation zu umgehen und ihren Veröffentlichungsstatus zu ändern.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.