CVE-2026-111884
Yüksek
Açıklama
4.1.9 öncesi ve 4.2.0-beta öncesi 4.2.0-alpha sürümlerindeki phpMyFAQ, kullanıcı kontrol panelinde bir hesap e-postası değiştirilirken (UserController::updateData, api/user/data/update) yalnızca oturumu ve CSRF belirtecini kontrol etmekte, mevcut şifreyi talep etmemektedir. Ele geçirilmiş bir oturuma sahip olan saldırgan, e-posta adresini kendi posta kutusuyla değiştirebilir ve şifre sıfırlama akışını kullanarak süper yönetici dahil olmak üzere 2FA etkinleştirilmemiş hesapları ele geçirebilir.
ÖnemYüksek
CVSS8.3
İstismar olasılığı—
ÜrünphpMyFAQ
Yayın17 Eki 2026
İlk görülme17 Eki 2026
Zayıflık türüCWE-308CWE-308
Nasıl düzeltilir
Güncelleyin
- thorsten phpMyFAQ4.1.9, 4.2.0-beta ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thorsten phpMyFAQ | v < 4.1.9, 4.2.0-alpha ≤ v < 4.2.0-beta | 4.1.9, 4.2.0-beta |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.