CVE-2026-76208
Təsvir
phpMyFAQ versiyaları 3.1.0-dan 4.1.6-ya qədər olan versiyalarda AuthLdap::create() funksiyasında autentifikasiyadan yan keçmə zəifliyi mövcuddur. LDAP autentifikasiyası aktiv olduqda, uğurlu LDAP bind əməliyyatından sonra kod şərtsiz olaraq User::setStatus('active') funksiyasını çağırır ki, bu da mövcud lokal hesabın account_status sütununu 'blocked' vəziyyətindən 'active' vəziyyətinə dəyişir. Nəticədə, lokal phpMyFAQ hesabı inzibati qaydada bloklanmış istifadəçi, LDAP vasitəsilə autentifikasiyadan keçərək hesabını bərpa edə və daxil ola bilər. Vəziyyət dəyişikliyi loqlanmadığı üçün administratorlar bloklamanın ləğv edildiyini aşkar edə bilmirlər. Problem 4.1.7 versiyasında düzəldilib.
Necə düzəltmək olar
- phpmyfaq phpmyfaq4.1.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| phpmyfaq phpmyfaq | 3.1.0 ≤ v < 4.1.6 | 4.1.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.