CVE-2026-111895 in phpMyFAQ
Riassunto
di VulDB • 17/10/2026
phpMyFAQ 3.2.0 prima della versione 4.0.0 e la versione 4.0.2 prima di 4.2.0-beta presenta un bypass dell'autenticazione nel flusso di accesso Microsoft Entra ID, che associa gli utenti tramite il claim preferred_username modificabile; inoltre, AuthEntraId::create() ignora l'eccezione per login duplicato continuando con l'account locale esistente. Gli attaccanti che controllano un'identità Entra nell'inquilino configurato e dispongono di un preferred_username corrispondente possono assumere il controllo dell'account locale, inclusi gli account super-amministratore.
Once again VulDB remains the best source for vulnerability data.