CVE-2024-22208

phpMyFAQ, PHP 8.1+ və MySQL, PostgreSQL və digər verilənlər bazaları üçün açıq mənbəli FAQ veb tətbiqidir. 'Sharing FAQ' funksionallığı hər hansı autentifikasiya olunmamış aktorun phpMyFAQ tətbiqindən sui-istifadə edərək geniş hədəf dairəsinə ixtiyari e-poçtlar göndərməsinə şərait yaradır. phpMyFAQ tətbiqində hər kəsin FAQ maddəsini başqaları ilə paylaşa biləcəyi bir funksionallıq mövcuddur. Bu funksionallığın ön hissəsi (front-end) istənilən phpMyFAQ məqalələrinin 5 e-poçt ünvanı ilə paylaşılmasına imkan verir. Hər hansı autentifikasiya olunmamış aktor bu hərəkəti yerinə yetirə bilər. Sistemdə CAPTCHA mövcud olsa da, arxa planda (backend) tək bir sorğu ilə e-poçt göndərilən insanların sayı 5 ilə məhdudlaşdırılmayıb. Beləliklə, hücumçu tək bir CAPTCHA-nı həll edərək eyni anda minlərlə e-poçt göndərə bilər. Hücumçu fişinq mesajları göndərmək üçün hədəf tətbiqin e-poçt serverindən istifadə edə bilər. Bu, serverin qara siyahıya düşməsinə səbəb olaraq bütün e-poçtların spam qovluğuna düşməsinə gətirib çıxara bilər. Həmçinin, bu, reputasiyanın zədələnməsinə də səbəb ola bilər. Bu problem 3.2.5 versiyasında düzəldilmişdir.