PT-2026-54050 · Phpmyfaq · Phpmyfaq
CVSS v3.1
8.8
عالية
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات phpMyFAQ السابقة للإصدار 4.1.5
الوصف
توجد مشكلة في الدالة
updatePermissions داخل GroupController تتيح للمسؤولين الذين يتمتعون بامتيازات GROUP EDIT منح حقوق تعسفية للمجموعات دون التحقق مما إذا كانوا يمتلكون تلك الحقوق بأنفسهم. يمكن للمسؤول المفوض استغلال هذه الثغرة عن طريق منح أذونات عالية القيمة لمجموعة يكون هو عضوًا فيها، وبذلك يرث تلك الحقوق ويرفع امتيازاته إلى مستوى التحكم الإداري الكامل.التوصيات
قم بالتحديث إلى الإصدار 4.1.5 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام دالة
updatePermissions في GroupController للمسؤولين المفوضين.استغلال
إصلاح
LPE
Improper Privilege Management
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Phpmyfaq