CVE-2026-111884
Yüksək
Təsvir
phpMyFAQ-nın 4.1.9 və 4.2.0-alpha versiyalarının 4.2.0-beta-dan əvvəlki versiyalarında istifadəçi idarəetmə panelində (UserController::updateData, api/user/data/update) hesabın e-poçtu dəyişdirilərkən cari şifrə tələb olunmur, yalnız sessiya və CSRF tokeni yoxlanılır. Oğurlanmış sessiyaya malik hücumçu e-poçtu öz poçt qutusuna yönləndirə və şifrənin sıfırlanması prosesindən istifadə edərək, superadmin daxil olmaqla, 2FA aktiv olmayan hesabları ələ keçirə bilər.
CiddilikYüksək
CVSS8.3
İstismar ehtimalı—
MəhsulphpMyFAQ
Dərc17 okt 2026
İlk görülmə17 okt 2026
Zəiflik növüCWE-308CWE-308
Necə düzəltmək olar
Yeniləyin
- thorsten phpMyFAQ4.1.9, 4.2.0-beta və ya daha yeni versiya
İstehsalçı bildirişləri
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| thorsten phpMyFAQ | v < 4.1.9, 4.2.0-alpha ≤ v < 4.2.0-beta | 4.1.9, 4.2.0-beta |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.