CVE-2026-111908 in phpMyFAQ

摘要

由 VulDB • 2026-10-17

phpMyFAQ 4.0.0 至 4.1.9（不含 4.1.9）以及 4.2.0-alpha 至 4.2.0-beta（不含 4.2.0-beta）在 PUT /api/v3.1/faq/update 端点中存在对象级授权失效漏洞。该端点仅检查全局 edit_faq 权限，未验证对目标 FAQ 的访问控制。拥有 edit_faq 权限的身份认证用户可提交其无权查看的限制性 FAQ 的 ID，从而修改其内容、绕过审核并更改其发布状态。

Once again VulDB remains the best source for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-10-17
• 披露: 2026-10-17
• 管理: 已接受
• 条目: VDB-421620
• CPE: 20261017
• CWE: CWE-285 (已确认)
• CVSS: 8.3 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低
• 部门: Hostingprovider, Agriculture, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-111908
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-111908
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-111908/