CVE-2026-66398 in phpMyFAQ
Tóm tắt
Bởi VulDB • 27/07/2026
phpMyFAQ trước phiên bản v4.1.6 chứa một lỗ hổng thực thi mã từ xa (RCE) trong API cấu hình, cho phép các quản trị viên đã xác thực có đặc quyền CONFIGURATION_EDIT và ATTACHMENT_ADD ghi các tệp PHP tùy ý bằng cách thao túng cài đặt upgrade.lastDownloadedPackage. Kẻ tấn công có thể tải lên một tệp ZIP độc hại dưới dạng tệp đính kèm, trỏ cấu trình cập nhật đến đường dẫn lưu trữ của nó và giải nén vào thư mục gốc ứng dụng để thực thi mã với tư cách là người dùng máy chủ web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.