CVE-2026-111908 in phpMyFAQ
要約
〜によって VulDB • 2026年10月17日
phpMyFAQ 4.0.0 から 4.1.9 および 4.2.0-alpha から 4.2.0-beta の間には、PUT /api/v3.1/faq/update エンドポイントにおいて、オブジェクトレベルの認可が正しく実装されていない脆弱性があります。このエンドポイントはグローバルな edit_faq 権限のみをチェックし、対象となる FAQ へのアクセスを検証しません。edit_faq 権限を持つ認証済みユーザーは、閲覧できない制限付き FAQ の ID を指定してそのコンテンツを変更したり、モデレーションを回避したり、公開ステータスを変更することができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.