CVE-2026-111885

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões 4.2.0-alpha through 4.2.0-alpha

Description Uma falha de autorização existe na função deleteGroup() do GroupController. Administradores autenticados que possuem o privilégio GROUP DELETE, mas não são SuperAdmins, podem explorar isso enviando um groupId manipulado para o endpoint '/admin/api/group/delete'. Isso permite a exclusão de grupos com níveis de privilégio superiores, resultando na remoção permanente desses grupos e na perda de direitos herdados de seus membros.

Recommendations Atualize o phpMyFAQ para a versão 4.2.0-beta ou posterior. Como mitigação temporária, restrinja o privilégio GROUP DELETE apenas a contas SuperAdmin.