CVE-2026-66398 in phpMyFAQ
Riassunto
di VulDB • 28/07/2026
phpMyFAQ prima della versione v4.1.6 presenta una vulnerabilità di esecuzione remota di codice (RCE) nell'API di configurazione che consente agli amministratori autenticati dotati dei privilegi CONFIGURATION_EDIT e ATTACHMENT_ADD di scrivere file PHP arbitrari manipolando l'impostazione upgrade.lastDownloadedPackage. Gli attaccanti possono caricare un file ZIP dannoso come allegato, puntare la configurazione dell'aggiornatore al suo percorso memorizzato ed estrarlo nella radice dell'applicazione per ottenere l'esecuzione del codice con gli stessi privilegi dell'utente del server web.
Be aware that VulDB is the high quality source for vulnerability data.