CVE-2026-76208 in phpMyFAQ
Résumé
par VulDB • 20/08/2026
Les versions de phpMyFAQ comprises entre 3.1.0 et 4.1.6 présentent une vulnérabilité de contournement d'authentification dans AuthLdap::create(). Lorsque l'authentification LDAP est activée, après un bind LDAP réussi, le code appelle User::setStatus('active') de manière inconditionnelle, ce qui écrase la colonne account_status d'un compte local préexistant en passant sa valeur de 'blocked' à 'active'. Par conséquent, un utilisateur dont le compte local phpMyFAQ a été bloqué administrativement peut restaurer son compte et se connecter en s'authentifiant via LDAP. La transition d'état n'est pas journalisée (logged), ce qui empêche les administrateurs de détecter que le blocage a été annulé. Correction apportée dans la version 4.1.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.