CVE-2026-66398 in phpMyFAQ
Zusammenfassung
von VulDB • 27.07.2026
phpMyFAQ vor Version v4.1.6 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE) in der Konfigurations-API, die es authentifizierten Administratoren mit den Berechtigungen CONFIGURATION_EDIT und ATTACHMENT_ADD ermöglicht, beliebige PHP-Dateien zu schreiben, indem sie die Einstellung upgrade.lastDownloadedPackage manipulieren. Angreifer können eine bösartige ZIP-Datei als Anhang hochladen, die Updater-Konfiguration auf deren gespeicherten Pfad verweisen und diese in das Anwendungsstammverzeichnis extrahieren, um Codeausführung mit dem Benutzer des Webservers zu erreichen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.