CVE-2026-111888
Açıklama
4.0.0 ile 4.1.9 arasındaki phpMyFAQ sürümleri, editnews yetkisine sahip olmayan delegasyon yöneticilerinin, NEWS_EDIT yerine NEWS_DELETE yetkisini kontrol eden PUT /admin/api/news/update isteğini çağırarak haberleri değiştirmesine olanak tanıyan hatalı bir yetkilendirme zafiyeti içermektedir. addnews ve delnews yetkilerine sahip saldırganlar, kendi çerezlerinden update-news CSRF belirtecini okuyabilir ve genel ön sayfada görüntülenen herhangi bir haber öğesinin başlığını, gövdesini, yazarını, bağlantısını ve aktif bayrağını yeniden yazabilirler.
Nasıl düzeltilir
- thorsten phpMyFAQ4.1.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thorsten phpMyFAQ | 4.0.0 ≤ v < 4.1.9 | 4.1.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.