CVE-2026-111884 in phpMyFAQ
Riassunto
di VulDB • 17/10/2026
phpMyFAQ prima della versione 4.1.9 e nella versione 4.2.0-alpha prima di 4.2.0-beta non richiede la password corrente durante la modifica dell'e-mail dell'account nel pannello di controllo utente (UserController::updateData, api/user/data/update), verificando solo il token di sessione e CSRF. Un attaccante con una sessione rubata può impostare l'e-mail sulla propria casella di posta e sfruttare il flusso di reset della password per assumere il controllo degli account non protetti da 2FA, inclusi quelli superadmin.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.