PT-2026-41356 · Phpmyfaq · Phpmyfaq

Kitu232 · Publicado 2026-05-06 · Atualizado 2026-05-15 · CVE-2026-45009

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões anteriores a 4.1.2

Description Uma autorização insuficiente nas rotas 'admin-api' permite que usuários comuns autenticados acessem endpoints administrativos. O sistema verifica apenas o status de login sem validar privilégios de backend, permitindo que invasores com contas de frontend válidas acessem informações operacionais sensíveis, como versões do painel, configuração LDAP, estatísticas do Elasticsearch e dados de verificação de integridade (health-check).

Recommendations Atualize para a versão 4.1.2 ou posterior.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-45009

GHSA-9R8R-X3VG-6XH4

GHSA-JRC5-W569-H7H5

Produtos afetados

Phpmyfaq

Referências · 7

• 🔥 https://github.com/thorsten/phpMyFAQ/security/advisories/GHSA-jrc5-w569-h7h5 · Exploit
• https://github.com/thorsten/phpMyFAQ · Nota
• https://osv.dev/vulnerability/GHSA-9r8r-x3vg-6xh4 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-jrc5-w569-h7h5 · Aviso do Fabricante
• https://t.me/cveNotify/163685 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-45009 · Nota de Segurança
• https://vulncheck.com/advisories/phpmyfaq-insufficient-authorization-check-in-admin-api-endpoints · Nota