CVE-2026-45010

Kritik

Açıklama

4.1.2 sürümünden önceki phpMyFAQ, oturum bağlaması veya hız sınırlaması olmaksızın rastgele user-id parametrelerini kabul eden /admin/check uç noktasında aşırı kimlik doğrulama denemelerinin uygun şekilde kısıtlanmaması zafiyeti içermektedir. Kimliği doğrulanmamış saldırganlar, ardışık belirteç değerleri içeren POST istekleri göndererek herhangi bir kullanıcının altı haneli TOTP kodunu kaba kuvvet yöntemiyle kırabilir ve iki faktörlü kimlik doğrulamayı atlayarak tam yönetici erişimi elde edebilir.

ÖnemKritik

CVSS9.1

İstismar olasılığı—

ÜrünThorsten/phpmyfaq

Yayın15 May 2026

İlk görülme15 May 2026

Zayıflık türüCWE-307CWE-307

Nasıl düzeltilir

Güncelleyin

thorsten/phpmyfaq4.1.2 ya da sonraki bir sürüm
phpmyfaq/phpmyfaq4.1.2 ya da sonraki bir sürüm

Üretici duyuruları

github.com/thorsten/phpMyFAQ/security/advisories/GHSA-9pq7-mfwh-xx2j

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
thorsten/phpmyfaqPackagist	v < 4.1.2	4.1.2
phpmyfaq/phpmyfaqPackagist	v < 4.1.2	4.1.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.