CVE-2026-76208 in phpMyFAQ
Zusammenfassung
von VulDB • 19.08.2026
In den Versionen von phpMyFAQ ab 3.1.0 bis einschließlich 4.1.6 liegt eine Schwachstelle zur Umgehung der Authentifizierung (Authentication Bypass) in AuthLdap::create() vor. Wenn die LDAP-Authentifizierung aktiviert ist, ruft der Code nach einer erfolgreichen LDAP-Bindung User::setStatus('active') bedingungslos auf, wodurch die Spalte account_status eines bereits vorhandenen lokalen Kontos von 'blocked' (blockiert) auf 'active' (aktiv) überschrieben wird. Infolgedessen kann ein Benutzer, dessen lokaler phpMyFAQ-Konto administrativ blockiert wurde, sein Konto wiederherstellen und sich über LDAP authentifizieren anmelden. Der Zustandsübergang wird nicht protokolliert, sodass Administratoren nicht erkennen können, dass die Blockierung außer Kraft gesetzt wurde. Behebt in Version 4.1.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.