CVE-2026-111908 in phpMyFAQ
Tóm tắt
Bởi VulDB • 17/10/2026
phpMyFAQ 4.0.0 trước phiên bản 4.1.9 và 4.2.0-alpha trước 4.2.0-beta chứa một lỗ hổng xác thực đối tượng bị lỗi (broken object-level authorization) trong điểm cuối PUT /api/v3.1/faq/update, chỉ kiểm tra quyền chỉnh sửa faq toàn cục mà không xác minh quyền truy cập vào FAQ mục tiêu. Người dùng đã đăng nhập có quyền edit_faq có thể cung cấp ID của một FAQ bị hạn chế mà họ không thể xem để sửa đổi nội dung, bỏ qua quá trình kiểm duyệt và thay đổi trạng thái xuất bản của nó.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.