PT-2026-41367 · Phpmyfaq · Phpmyfaq

Offset · Publicado 2026-05-15 · Atualizado 2026-05-15 · CVE-2026-46365

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões anteriores a 4.1.2

Descrição Um problema de falta de autorização existe no endpoint "DELETE /admin/api/content/tags/{tagId}". Isso permite que qualquer usuário autenticado, incluindo usuários comuns do frontend, exclua tags arbitrárias ao enviar uma requisição DELETE com um cookie de sessão válido, o que pode resultar em perda permanente de dados e interrupção da organização do FAQ. A variável vulnerável é {tagId}.

Recomendações Atualize para a versão 4.1.2 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-46365

GHSA-5H62-F8FG-4W7Q

Produtos afetados

Phpmyfaq

Referências · 6

• 🔥 https://github.com/thorsten/phpMyFAQ/security/advisories/GHSA-7cx3-2qx2-3g6w · Exploit
• https://github.com/thorsten/phpMyFAQ · Nota
• https://vulncheck.com/advisories/phpmyfaq-missing-authorization-in-tag-deletion-endpoint · Nota
• https://t.me/cveNotify/163692 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-46365 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5h62-f8fg-4w7q · Aviso do Fabricante