CVE-2026-56737

phpMyFAQ açıq mənbəli FAQ veb tətbiqidir. 3.2.0-dan 4.1.5-ə qədər olan versiyalarda ictimai iki faktorlu autentifikasiya yoxlama axınında autentifikasiyadan yan keçmə zəifliyi mövcuddur: autentifikasiya olunmamış hücumçu, əvvəlcə hesab şifrəsi ilə autentifikasiya olmadan, istifadəçinin rəqəmsal ID-sini və düzgün və ya brute-force yolu ilə tapılmış altı rəqəmli TOTP kodunu təqdim edə bilər ki, bu da administrator hesabları daxil olmaqla, 2FA aktiv edilmiş hər hansı bir hesabın ələ keçirilməsinə imkan verir. Versiya 4.1.6-da TOTP yoxlamasının uğurlu şifrə autentifikasiyasından sonra yaradılan sessiyaya bağlanması və uğursuz TOTP cədlərinin məhdudlaşdırılması ilə problem aradan qaldırılıb. Rəsmi alternativ həll yolu sənədləşdirilməmişdir; təsirlənən quraşdırmalar 4.1.6 və ya daha yeni versiyaya yüksəldilməlidir.