PT-2026-116459

CVE-2026-111888

Publicado

2026-10-17

Atualizado

2026-10-17

Descrição por

CVSS 4.0

5.1

Média

MétricasAV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões 4.0.0 até 4.1.8

Descrição Existe um problema de autorização incorreta onde administradores delegados sem a permissão editnews podem modificar itens de notícias. Isso ocorre porque o endpoint "PUT /admin/api/news/update" verifica incorretamente a permissão NEWS DELETE em vez de NEWS EDIT. Usuários com as permissões addnews e delnews podem recuperar o token CSRF update-news de seus cookies para alterar o cabeçalho, corpo, autor, link e status ativo de qualquer item de notícia exibido na página pública.

Recomendações Atualize o phpMyFAQ para a versão 4.1.9 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Euriconicacio

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-863: Incorrect Authorization

Identificadores relacionados