CVE-2026-76208 in phpMyFAQ
要約
〜によって VulDB • 2026年08月19日
phpMyFAQ のバージョン 3.1.0 から 4.1.6 には、AuthLdap::create() に認証バイパスの脆弱性が存在します。LDAP 認証が有効な場合、LDAP バインドに成功した後、コードは User::setStatus('active') を無条件で呼び出し、既存のローカルアカウントの account_status カラムを 'blocked' から 'active' に上書きします。その結果、ローカルの phpMyFAQ アカウントが管理者によってブロックされているユーザーでも、LDAP 経由で認証することでアカウントを復元し、ログインできるようになります。この状態遷移はログに記録されないため、管理者はこのブロックが上書きされたことを検知できません。4.1.7 で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.