CVE-2024-22202

Versões do phpMyFAQ anteriores à 3.2.5

A vulnerabilidade permite que um invasor falsifique os dados de outro usuário, criando um caso convincente de phishing para solicitar a exclusão da conta desse usuário. Embora a interface da página de exclusão de usuário não permita a alteração dos dados do formulário, um invasor pode usar um proxy para interceptar a solicitação e enviar outros dados. Após o envio do formulário, um e-mail é enviado ao administrador, que não tem como distinguir entre o usuário real que deseja excluir sua conta e o invasor que está enviando a solicitação para uma conta que não controla. O endpoint da API /user/request-removal está envolvido nesta vulnerabilidade, onde um invasor pode editar a solicitação antes de enviá-la, alterando campos como username, Your name e Your email address para os dados de outro usuário.

Para versões anteriores à 3.2.5, atualize para a versão 3.2.5 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint /user/request-removal até que a atualização seja aplicada. Além disso, os administradores devem ter cautela ao receber solicitações de exclusão de conta e verificar a autenticidade dessas solicitações por meios alternativos.