CVE-2026-49205

Orta

Açıklama

phpMyFAQ açık kaynaklı bir SSS web uygulamasıdır. 4.1.4 öncesindeki sürümlerde API CategoryController bileşeninde yetkilendirme eksikliği bulunmaktadır. CVE-2026-24421, BackupController'a $this->userHasPermission(PermissionType::BACKUP) ekleyerek bu sorunu gidermiştir. Aynı düzeltme, genel API'deki diğer 4 yazma uç noktasına uygulanmamıştır. Bu 4 uç nokta, bireysel kullanıcı rol izinleri yerine paylaşılan bir API anahtarı başlığını kontrol eden $this->hasValidToken() fonksiyonunu çağırmaktadır. Etkilenen API'ler şunlardır: POST /api/v4.0/category (CategoryController::create), POST /api/v4.0/faq (FaqController::create), PUT /api/v4.0/faq (FaqController::update) ve POST /api/v4.0/question (QuestionController::create). Bu sorun 4.1.4 sürümünde giderilmiştir.

ÖnemOrta

CVSS6.5

İstismar olasılığı—

ÜrünThorsten/phpmyfaq

Yayın18 Haz 2026

İlk görülme18 Haz 2026

Zayıflık türüCWE-862Yetki denetimi eksikliği

Nasıl düzeltilir

Güncelleyin

thorsten/phpmyfaq4.1.4 ya da sonraki bir sürüm
phpmyfaq/phpmyfaq4.1.4 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
thorsten/phpmyfaqPackagist	v < 4.1.4	4.1.4
phpmyfaq/phpmyfaqPackagist	v < 4.1.4	4.1.4

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.